willbesec

Google Cloud MCP Toolbox for Databases: travessia de caminhos permite exfiltrar ficheiros do servidor

O MCP Toolbox for Databases da Google Cloud, nas versões 1.2.0 a 1.4.0, permite a um atacante remoto sem autenticação enviar ficheiros do servidor para armazenamento externo e sobrescrever ficheiros locais. O NVD ainda não publicou a pontuação CVSS.

  • Identificador: CVE-2026-93328
  • Publicado em: 2026-10-26
  • Pontuação CVSS: ainda não publicada pelo NVD

Descrição (texto original em inglês):

Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local files via crafted tool invocation parameters.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1567.002, Exfiltração para armazenamento na nuvem (Exfiltration to Cloud Storage)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (github.com)github.com
  3. Técnica MITRE ATT&CK T1190attack.mitre.org
  4. Técnica MITRE ATT&CK T1567.002attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.