CVE-2026-93328

Mở trang đầy đủ

CVSS 9.3 CRITICAL Truy cập trái phép Lộ dữ liệu

Missing Authorization in MCP Toolbox for Databases allows Arbitrary File Read and Write

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local files via crafted tool invocation parameters.

Điểm và phân loại

CVSS
9.3 CRITICAL v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
CRITICAL
EPSS
—

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amber

Ảnh hưởng

Sản phẩm

  • Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox)

Vì sao được giữ

  • CVSS 9.3 >= 8.0

Loại tác động

Truy cập trái phép
CWE-862; từ khoá "missing authorization"
Lộ dữ liệu
CWE-22; từ khoá "arbitrary file read"; từ khoá "path traversal"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
GoogleCloud
CVE.org · SSVC
Tự động hoá được: yes · Khai thác: none · Tác động kỹ thuật: total

Tham khảo