谷歌云MCP Toolbox曝9.3分漏洞，可窃取或篡改服务器文件
该漏洞编号CVE-2026-93328，源于Google Cloud Storage连接功能的文件路径校验与权限检查不足，官方建议升级至1.5.0。
谷歌云披露了其MCP Toolbox中的一个高危漏洞，编号为CVE-2026-93328。MCP Toolbox是面向数据库的Model Context Protocol工具。据dailysecu.com报道，该漏洞的CVSS 4.0严重性评分为9.3。
受影响版本为1.2.0起至1.5.0之前的版本。漏洞源于连接Google Cloud Storage的功能在文件路径校验和访问权限检查方面存在不足。
攻击者通过发送构造的请求，可将服务器存储的文件发送至攻击者指定的外部云存储，或覆盖已有文件。在特定条件下，未通过身份验证的远程攻击者亦可利用该漏洞。
谷歌云建议用户更新至1.5.0或更高版本，并明确限制服务器可访问的本地目录与云存储。管理员还应尽量缩小该AI连接工具所使用的操作系统账户权限和云访问权限。
快速问答
CVE-2026-93328影响哪些版本？
受影响版本为1.2.0起至1.5.0之前的版本，更新至1.5.0或更高版本即可修复。
该漏洞的严重性评分是多少？
CVSS 4.0严重性评分为9.3。
除升级外还应采取哪些措施？
应明确限制服务器可访问的本地目录与云存储，并尽量缩小该AI连接工具使用的操作系统账户及云访问权限。