PT-2026-123369
CVE-2026-93328
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/U:Amber
اسم البرنامج المصاب والإصدارات المتأثرة
googleapis/mcp-toolbox الإصدارات من 1.2.0 إلى 1.4.0
Description
يسمح تجاوز المسار وفقدان التفويض في مصدر cloud-storage لمهاجم عن بُعد غير مصرح له بتسريب ملفات المضيف إلى حاويات Google Cloud Storage خارجية والكتابة فوق ملفات محلية عشوائية. يتم ذلك من خلال استخدام معاملات استدعاء أدوات مصممة خصيصاً.
Recommendations
تحديث googleapis/mcp-toolbox إلى الإصدار 1.5.0 أو أحدث.
ضبط إعدادات
allowedLocalRoots و allowedBuckets.
تشغيل التطبيق كمستخدم نظام تشغيل غير مميز مع صلاحيات IAM بأقل الامتيازات. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾