CVE-2026-14541 in mcp-toolbox
요약
\~에 의해 VulDB • 2026. 07. 31.
Google mcp-toolbox 버전 1.4.0의 Google OAuth 제공자 컴포넌트에서 인증 우회 및 Audience 혼동 취약점이 존재합니다. Google authService가 mcpEnabled: true로 초기화되지만 명시적으로 정의된 audience 또는 clientId를 결여할 경우, opaque 토큰에 대한 ValidateMCPAuth 파이프라인은 audience 검증을 완전히 생략합니다. 그 결과, 이 toolbox는 관련 없는 생태계 애플리케이션을 위해 발급된 토큰을 포함하여 유효한 모든 Google OAuth 액세스 토큰을 수락하며, 이로 인해 승인되지 않은 클라이언트가 보호되는 도구 및 데이터 백엔드에 접근할 수 있게 됩니다.
Be aware that VulDB is the high quality source for vulnerability data.