CVE-2026-16481

Nome do Software Vulnerável e Versões Afetadas googleapis/mcp-toolbox (versões afetadas não especificadas)

Description Um problema de Server-Side Request Forgery (SSRF) e exfiltração de credenciais existe na ferramenta cloud-healthcare-fhir-fetch-page. A ferramenta processa um parâmetro pageURL não validado vindo do cliente para emitir uma requisição HTTP GET usando um cliente autenticado. Como o transporte subjacente anexa automaticamente um cabeçalho Authorization: Bearer a todas as requisições externas, independentemente do host de destino, um invasor pode fornecer uma URL externa arbitrária através do parâmetro pageURL. Isso faz com que a ferramenta envie seu token de acesso OAuth ou de conta de serviço para um ouvinte controlado pelo invasor, expondo potencialmente Informações de Saúde Protegidas (PHI) e outros serviços do Google Cloud Platform.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro pageURL na ferramenta cloud-healthcare-fhir-fetch-page até que o problema seja resolvido.