CVE-2026-14539

Nome do Software Vulnerável e Versões Afetadas Google mcp-toolbox versões anteriores a 1.4.1

Descrição Um problema de alocação de recursos no componente de manipulador HTTP permite que um invasor não autenticado cause a negação de serviço (DoS). O manipulador do endpoint '/mcp' lê cargas úteis recebidas diretamente na memória do sistema usando um loop de buffer irrestrito io.ReadAll() sem aplicar restrições defensivas, como http.MaxBytesReader ou a aplicação de Content-Length pré-lido. Um invasor pode consumir a memória disponível do host ao enviar um único corpo de requisição HTTP massivo até que o processo seja encerrado por um erro de Out-Of-Memory (OOM), que ocorre quando o sistema não consegue alocar mais memória para o processo.

Recomendações Atualize para uma versão posterior à 1.4.0. Como mitigação temporária, restrinja o acesso ao endpoint '/mcp' apenas a fontes confiáveis.