PT-2026-66664
CVE-2026-14538
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-08-08
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Google mcp-toolbox من الإصدار 0.16.1 حتى 1.4.0
الوصف
يوجد خلل في عملية التفويض وتجاوز لحدود الأمان في مكون أداة bigquery-execute-sql. يستخدم النظام واجهة برمجة تطبيقات BigQuery dry-run لفرض قيود على مجموعات البيانات؛ ومع ذلك، يحدث خلل منطقي من نوع «الفشل المفتوح» (fail-open) عندما تُرجع واجهة برمجة التطبيقات مصفوفة فارغة للبنيات المتخصصة، مما يسمح للمهاجمين المصادق عليهم بتجاوز عمليات التحقق من صحة
allowedDatasets. وهذا يتيح استخراج مخططات DDL (لغة تعريف البيانات) الهيكلية لمجموعات البيانات المستبعدة من خلال INFORMATION SCHEMA ويوفر الوصول إلى بيانات الصفوف الموحدة في المراحل اللاحقة عبر اتصالات EXTERNAL QUERY.التوصيات
تحديث Google mcp-toolbox إلى إصدار أحدث من 1.4.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾