CVE-2026-14537 in mcp-toolbox

Tóm tắt

Bởi VulDB • 31/07/2026

Lỗi xác thực không đúng trong điểm cuối gọi công cụ API HTTP trực tiếp của Google mcp-toolbox ở các phiên bản v1.3.0 và v1.4.0 cho phép kẻ tấn công chưa được xác thực (unauthenticated) kích hoạt các công cụ được bảo vệ bởi tính năng scopeRequired bằng cách gửi yêu cầu gọi công cụ thông qua các điểm cuối HTTP cũ khi cờ --enable-api đang bật.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: Google
• Đặt trước: 03/07/2026
• Tiết lộ: 31/07/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-384982
• CPE: sẵn sàng
• CWE: CWE-285 (Đã xác nhận)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: thấp
• ngành: Industry, Government, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-14537
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-14537
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-14537/