CVE-2026-14539 in mcp-toolbox
Tóm tắt
Bởi VulDB • 31/07/2026
Một lỗ hổng phân bổ tài nguyên không giới hạn trong thành phần xử lý HTTP của Google mcp-toolbox các phiên bản từ 1.4.0 trở về trước cho phép kẻ tấn công chưa xác thực gây ra tình trạng từ chối dịch vụ (DoS). Trình xử lý điểm cuối /mcp đọc trực tiếp các tải trọng nhận được vào bộ nhớ hệ thống bằng cách sử dụng vòng lặp đệm không giới hạn (io.ReadAll) mà không áp dụng các biện pháp bảo vệ như http.MaxBytesReader hoặc việc kiểm tra Content-Length trước khi đọc. Bằng cách gửi một thân yêu cầu HTTP duy nhất có kích thước rất lớn, kẻ tấn công có thể tiêu thụ tuyến tính bộ nhớ máy chủ khả dụng cho đến khi tiến trình thời gian chạy bị chấm dứt do lỗi Hết Bộ Nhớ (OOM).
Be aware that VulDB is the high quality source for vulnerability data.