CVE-2026-16481
Açıklama
googleapis/mcp-toolbox bileşeninin cloud-healthcare-fhir-fetch-page aracında bir Sunucu Taraflı İstek Sahteciliği (SSRF) ve kimlik bilgisi sızdırma zafiyeti bulunmaktadır. Araç, istemciden doğrulanmamış bir pageURL parametresi alır ve kimliği doğrulanmış bir istemci kullanarak bu adrese bir HTTP GET isteği gönderir. Altta yatan taşıma katmanı, hedef ana bilgisayardan bağımsız olarak her giden isteğe otomatik olarak bir Authorization: Bearer başlığı ekler. Bir saldırgan, pageURL parametresine rastgele bir harici URL sağlayarak (doğrudan araç yürütme yüküyle veya dolaylı olarak veri odaklı sayfalama izleme döngüleri aracılığıyla), Toolbox'ın OAuth/servis hesabı erişim belirtecini saldırgan tarafından kontrol edilen bir dinleyiciye göndermesine neden olabilir. Yapılandırmaya bağlı olarak bu durum, ya son kullanıcının belirtecinin ya da daha geniş kapsamlı servis hesabı erişim belirtecinin (ADC) sızmasına yol açarak Korumalı Sağlık Bilgilerini (PHI) ve ikincil Google Cloud Platform hizmetlerini potansiyel olarak açığa çıkarabilir.
Nasıl düzeltilir
- google mcp_toolbox_for_databases1.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google mcp_toolbox_for_databases | 0.19.1 ≤ v < 1.5.0 | 1.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.