事件经过
Google的MCP数据库工具箱的云存储源在解析工具调用路径时缺乏足够的遍历限制或授权（CWE-22 / CWE-862）。GitHub Advisory Database（GHSA-2gc9-c85v-5vwr）将其评为CRITICAL（CVSS 9.3），发布于2026-10-26；未认证的远程攻击者可以将宿主机文件外泄到外部GCS存储桶，并覆盖任意本地文件。
影响分析
这是一个代理可达的、未认证的文件读写漏洞，发生在运行Google认可的MCP数据库工具服务器的宿主机上。由于LLM代理可以调用这些工具，提示注入或直接网络调用者可以读取宿主机的机密/环境变量/凭据，并写入任意本地文件（如配置或cron）——这是对MCP宿主机的一个直接立足点。
攻击途径
攻击者调用MCP云存储工具，使用精心构造的路径遍历到预期目录之外，而该工具缺少授权检查，因此将宿主机文件复制到攻击者控制的GCS存储桶，并可覆盖运行MCP服务器的宿主机上的任意本地文件。
受影响系统
googleapis/mcp-toolbox（Google Cloud MCP数据库工具箱）版本1.2.0至<1.5.0；云存储源组件。
缓解措施
升级到googleapis/mcp-toolbox 1.5.0或更高版本（PR #3454）。