CVE-2026-93328
MCP Toolbox for Databases में अनधिकृत पहुँच के कारण मनमानी फ़ाइल पढ़ना और लिखना संभव
- प्रकाशित
- 26 अक्टू॰ 2026
- अद्यतन
- 26 अक्टू॰ 2026
- सीएनए असाइन करना
- GoogleCloud
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amberकम · अगले 30 दिन
- प्रतिशत
- 44.7%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) के संस्करण 1.2.0 से 1.4.0 तक में cloud-storage स्रोत में Path Traversal और अनुपस्थित प्राधिकरण (Missing Authorization) एक अप्रमाणित रिमोट हमलावर को तैयार किए गए टूल इनवोकेशन पैरामीटर के माध्यम से होस्ट फ़ाइलों को बाहरी Google Cloud Storage बकेट में निकालने (exfiltrate) और मनमानी स्थानीय फ़ाइलों को अधिलेखित (overwrite) करने की अनुमति देता है।
स्रोत
प्राधिकरण परत CVE-2026-93328 अनुपस्थित थी: MCP स्टोरेज टूल्स के सामने स्कोप्ड ग्रांट्स, पाथ कन्फाइनमेंट और साइन्ड रिसीट्स। CVE पुनरुत्पादन + गेटेड प्रमाण, 10/10 परीक्षण।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।