What is CVE-2026-14541?
An authentication bypass and audience confusion vulnerability found in Google mcp-toolbox version 1.4.0 affects the Google OAuth provider component. When initialized with `mcpEnabled: true` but without an explicitly defined `audience` or `clientId`, the `ValidateMCPAuth` pipeline can be bypassed. Administrators should immediately ensure that `clientId` and `audience` values are explicitly defined in configurations to mitigate this risk.
Azərbaycanca: Google mcp-toolbox 1.4.0-da autentifikasiya bypass və 'audience confusion' zəifliyi aşkarlanıb. Təsirə məruz qalan 'Google OAuth provider' komponenti `mcpEnabled: true` parametri ilə başladılıb, lakin `audience` və ya `clientId` açıq şəkildə təyin edilmədikdə, `ValidateMCPAuth` pipeline-i üçün təhlükəsizlik yoxlaması yan keçilə bilər. Dərhal konfiqurasiyaları nəzərdən keçirmək və `clientId`/`audience` kimi identifikasiya məlumatlarını mütləq təyin etmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-287
FAQ2
Under what condition does the authentication bypass vulnerability occur in Google mcp-toolbox 1.4.0?
The vulnerability occurs when `mcpEnabled: true` is set but the `audience` or `clientId` values are not explicitly defined in the configuration, allowing the `ValidateMCPAuth` pipeline to be bypassed.
What should administrators do to mitigate CVE-2026-14541?
Administrators should immediately review configurations and ensure that the `clientId` and `audience` values are explicitly defined.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.