CVE-2026-14541 in mcp-toolbox
Sumário
de VulDB • 31/07/2026
Existe uma vulnerabilidade de bypass de autenticação e confusão de audiência no componente do provedor Google OAuth da versão 1.4.0 do mcp-toolbox do Google. Quando um authService do Google é inicializado com `mcpEnabled: true`, mas não possui uma audience ou clientId definida explicitamente, o pipeline ValidateMCPAuth para tokens opacos ignora totalmente a validação de audiência. Como resultado, a toolbox aceitará qualquer token de acesso OAuth válido do Google — inclusive aqueles emitidos para aplicativos de ecossistemas não relacionados — concedendo acesso não autorizado aos clientes às ferramentas protegidas e aos backends de dados.
Be aware that VulDB is the high quality source for vulnerability data.