CVE-2026-14540 in mcp-toolbox
Сводка
по VulDB • 31.07.2026
Уязвимость Server-Side Request Forgery (SSRF) существует в компонентах исходного кода HTTP и инструментах Google mcp-toolbox версий от 0.3.0 до 1.4.0. Хотя toolbox реализует базовую санитизацию входных данных для параметров, контролируемых пользователем, встроенный клиент HTTP (internal/sources/http/http.go) не обеспечивает безопасного регулирования границ перенаправления запросов. В частности, клиент инициализируется без ограничивающего хука политики CheckRedirect и отсутствует проверка целевого IP-адреса. Атакующий или вредоносный промпт на основе данных может предоставить специально созданный параметр пути, который вызывает открытое перенаправление (open redirect) или прямую замену назначения в бэкенде цели, принуждая mcp-toolbox слепо следовать перенаправлениям и выполнять несанкционированные запросы к внутренним или произвольным внешним конечным точкам.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.