CVE-2026-101057 in python-utcp
الملخص
بحسب VulDB • 27/09/2026
يتصل utcp-mcp (إضافة MCP الخاصة بـ python-utcp) عبر الإصدار 1.1.2 بعنواني خادم MCP المعتمدين على HTTP و WebSocket، والمحدَّدين في تكوين mcpServers لقالب المكالمة، دون تطبيق التحقق من أمان العنوان (ensure_secure_url) الذي تطبقه الإضافات التابعة لعائلة HTTP؛ وبالتالي لا يتم فرض قاعدة HTTPS/WSS أو الاتصال المحلي (loopback). ويتم إجراء مكالمة إلى عنوان خادم MCP غير آمن يعتمد على HTTP العادي وغير محلي كما هو مُعدّ في التكوين، مما يعرض مصافحة MCP للاعتراض عبر الشبكة ويسمح بإجراء اتصالات نصية واضحة (cleartext) مع مضيفين داخليين. إن تكوين mcpServers من إعداد المشغل وليس بيانات مستلمة عن بُعد، والاتصال عبارة عن مصافحة MCP بدلاً من طلب عشوائي يُرجع محتوىً، مما يحدّ من الاستغلال العملي؛ كما أن مسار اعتماد OAuth2 token_url الموصوف في التقرير الأصلي لم يكن قابلاً للوصول في الإصدارات المتأثرة، لأن معالج OAuth2 لم يتم استدعاؤه على الإطلاق ولم يتم قراءة حقل auth الخاص بقالب المكالمة. تم الإصلاح في utcp-mcp 1.1.3، الذي يتحقق من عناوين الخوادم قبل إجراء أي اتصال.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.