PT-2026-66667
CVE-2026-14541
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-08-08
الوصف من
CVSS 4.0
8.0
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:U
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Google mcp-toolbox الإصدار 1.4.0
الوصف
توجد مشكلة تتعلق بتجاوز المصادقة وخلط الجمهور في مكون مزود خدمة Google OAuth. عندما يتم تهيئة خدمة المصادقة (authService) من Google بقيمة
mcpEnabled: true دون تحديد جمهور أو clientId بشكل صريح، فإن مسار ValidateMCPAuth الخاص بالرموز غير الشفافة يتخطى عملية التحقق من صحة الجمهور. وهذا يسمح لـ toolbox بقبول أي رمز وصول Google OAuth صالح، بما في ذلك الرموز التي تم إنشاؤها لتطبيقات غير مرتبطة بالنظام البيئي، مما قد يمنح العملاء غير المصرح لهم حق الوصول إلى الأدوات المحمية وخلفيات البيانات.التوصيات
حدد الجمهور أو
clientId بشكل صريح عند تهيئة خدمة Google authService بقيمة mcpEnabled: true للإصدار 1.4.0.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾