Dua celah keamanan serius ditemukan pada komponen penyimpanan cloud milik Google Cloud MCP Toolbox for Databases. Kedua kerentanan tersebut, yang tercatat dengan kode CVE-2026-93328, memungkinkan pihak tidak bertanggung jawab mengakses sistem tanpa perlu login terlebih dahulu.
Akar masalahnya terletak pada lemahnya mekanisme pemeriksaan hak akses serta validasi alamat berkas pada fitur pemanggilan alat. Dengan memanipulasi parameter tertentu, penyerang dapat mencuri berkas dari server korban dan mengunggahnya ke layanan penyimpanan cloud milik pelaku. Selain itu, pelaku juga berpotensi mengubah isi berkas di sistem target secara sewenang-wenang.
Perangkat lunak yang terdampak adalah Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) mulai versi 1.2.0 sampai dengan 1.4.0.
Sebagai langkah pengamanan, pengguna sangat disarankan untuk memutakhirkan aplikasi ke versi di atas 1.4.0 yang sudah dilengkapi perbaikan. Selain itu, perlu memperketat izin akses serta validasi setiap data masukan, dan memastikan sistem otorisasi berjalan dengan benar agar pemanggilan alat oleh pihak tak berwenang dapat dicegah.
Sumber: https://idsirtii.bssn.go.id/publications/advisories/security-advisory-kerentanan-pada-mcp-toolbox-cve-2026-93328
