Google Cloud révèle une faille critique dans MCP Toolbox
La vulnérabilité CVE-2026-93328, notée 9,3 sur l'échelle CVSS 4.0, touche les versions 1.2.0 à 1.4.x de l'outil de connexion de données pour IA.
Google Cloud a enregistré la vulnérabilité CVE-2026-93328 dans MCP Toolbox, son outil de connexion de bases de données basé sur le Model Context Protocol, selon dailysecu.com. La faille obtient un score de gravité de 9,3 sur l'échelle CVSS 4.0.
Les versions concernées vont de 1.2.0 à 1.4.x, soit jusqu'à la version 1.5.0 exclue. Le défaut provient d'une validation insuffisante des chemins de fichiers et des contrôles de droits d'accès dans la fonction qui se connecte à Google Cloud Storage.
Un attaquant envoyant des requêtes spécialement conçues pourrait transmettre des fichiers stockés sur le serveur vers un stockage cloud externe qu'il contrôle, ou écraser des fichiers existants. Dans certaines conditions, des attaquants distants non authentifiés peuvent exploiter la vulnérabilité.
Google Cloud recommande de mettre à jour vers la version 1.5.0 ou une version ultérieure, et de restreindre explicitement les répertoires locaux et les stockages cloud accessibles depuis le serveur. Les administrateurs sont également invités à réduire au minimum les droits du compte système et les autorisations cloud utilisés par l'outil de connexion pour l'IA.
En bref
Quelles versions de MCP Toolbox sont affectées par CVE-2026-93328 ?
Les versions de 1.2.0 à 1.4.x, soit jusqu'à la version 1.5.0 exclue.
Quelle est la gravité de cette vulnérabilité ?
Elle obtient un score de 9,3 sur l'échelle CVSS 4.0.
Que recommande Google Cloud ?
Mettre à jour vers la version 1.5.0 ou ultérieure, restreindre les répertoires locaux et les stockages cloud accessibles depuis le serveur, et limiter les droits du compte système et les autorisations cloud utilisés par l'outil.