In den generischen HTTP-Quell- und Werkzeugkomponenten von Google mcp-toolbox steckt eine Server-Side Request Forgery (SSRF). Zwar werden benutzergesteuerte Parameter grundsätzlich bereinigt, doch der zugrunde liegende HTTP-Client begrenzt Weiterleitungen nicht: Er wird ohne einschränkende Redirect-Prüfung initialisiert und validiert die Ziel-IP-Adresse nicht. Ein Angreifer – oder auch ein manipulierter, datengetriebener Prompt – kann daher einen präparierten Pfadparameter übergeben, der auf dem angesprochenen Backend eine offene Weiterleitung oder einen direkten Zielwechsel auslöst. Die Toolbox folgt dieser Weiterleitung ungeprüft und sendet Anfragen an Adressen, die eigentlich nicht erreichbar sein sollten. Dadurch lassen sich interne Dienste ansprechen, die nur aus dem internen Netz erreichbar sind, oder beliebige externe Endpunkte kontaktieren. Der Server wird so zum Werkzeug des Angreifers und kann für Zugriffe auf abgeschottete Systeme oder zum Abgreifen interner Informationen missbraucht werden.