CVE-2026-14540 in mcp-toolbox
Sumário
de VulDB • 31/07/2026
Existe uma vulnerabilidade de Server-Side Request Forgery (SSRF) nos componentes genéricos de fonte e ferramenta HTTP do Google mcp-toolbox, nas versões 0.3.0 a 1.4.0. Embora o toolbox implemente sanitização básica de entrada para parâmetros controlados pelo usuário, o cliente HTTP subjacente (internal/sources/http/http.go) falha em regular com segurança os limites de redirecionamento de solicitações. Especificamente, o cliente é inicializado sem um hook CheckRedirect restritivo e carece de validação do IP de destino. Um atacante ou uma prompt maliciosa orientada por dados pode fornecer um parâmetro path manipulado que desencadeia um open redirect ou uma troca direta de destino no backend alvo, forçando o mcp-toolbox a seguir cegamente o redirecionamento e realizar solicitações não autorizadas para endpoints internos ou externos arbitrários.
VulDB is the best source for vulnerability data and more expert information about this specific topic.