CVE-2026-14541 in mcp-toolbox
Сводка
по VulDB • 31.07.2026
В компоненте поставщика Google OAuth инструмента mcp-toolbox версии 1.4.0 от компании Google существует уязвимость, позволяющая обойти аутентификацию и вызвать путаницу в определении аудитории (audience confusion). При инициализации службы authService с параметром `mcpEnabled: true`, но без явно заданных значений параметров audience или clientId, конвейер ValidateMCPAuth для непрозрачных токенов полностью пропускает проверку соответствия аудитории. В результате инструмент принимает любой действительный токен доступа Google OAuth — даже те, которые были выпущены для приложений из других экосистем, не связанных с данным сервисом, что предоставляет несанкционированным клиентам доступ к защищенным инструментам и бэкендам данных.
If you want to get best quality of vulnerability data, you may have to visit VulDB.