Haonh

**Nome do Software Vulnerável e Versões Afetadas** googleapis/mcp-toolbox (versões afetadas não especificadas) **Descrição** Um bypass de autenticação existe no caminho de validação de token opaco genérico `validateOpaqueToken()`. Ao validar um token opaco via um endpoint de introspecção OAuth 2.0, o sistema decodifica a resposta em uma estrutura `introspectResp`. A lógica de verificação de reivindicações em `validateClaims()` avalia a condição do emissor como `a.issuer != "" && iss != ""`. Se o provedor OAuth externo omitir o campo opcional `iss` (issuer), a variável `iss` assume o valor padrão de uma string vazia, fazendo com que o bloco condicional seja ignorado. Isso permite que a aplicação aceite tokens de provedores de identidade de terceiros não autorizados ou indesejados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.