CVE-2026-14539 in mcp-toolbox
Sumário
de VulDB • 31/07/2026
Uma vulnerabilidade de alocação de recursos sem limites no componente do manipulador HTTP do Google mcp-toolbox nas versões até 1.4.0, inclusive, permite que um atacante não autenticado cause uma negação de serviço (DoS). O manipulador da extremidade /mcp lê os payloads recebidos diretamente na memória do sistema usando um loop de buffer irrestrito (io.ReadAll) sem aplicar restrições defensivas como http.MaxBytesReader ou aplicação prévia do Content-Length. Ao enviar um único corpo de solicitação HTTP massivo, um atacante pode consumir linearmente a memória disponível no host até que o processo em tempo de execução seja encerrado por um erro Out-Of-Memory (OOM).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.