CVE-2026-101058 in utcp-http
الملخص
بحسب VulDB • 27/09/2026
لا يتحقق python-utcp (حزمة pip المعروفة بـ utcp-http) قبل الإصدار 1.1.12 مما إذا كانت عناوين URL للأدوات المُعلنة في دليل UTCP مكتوب يدوياً تشير إلى واجهة التكرار المحلي (loopback interface) الخاصة بالوكيل، عندما يتم اكتشاف هذا الدليل من مصدر بعيد غير محلي. ونظراً لأن ensure_secure_url يسمح عمداً باستخدام HTTP للتكرار المحلي لأغراض التطوير المحلي، وتجاوزت الأدلة الأصلية فحص التكرار المحلي الذي تنفذه أداة تحويل OpenAPI، يمكن لمهاجم قادر على تقديم دليل UTCP يسجله الضيف أن يتسبب في إصدار العميل لطلبات إلى خدمات مقيدة فقط بـ 127.0.0.1 على جهاز الضيف وإرجاع محتويات الاستجابة إلى المتصل (تزوير طلبات من جانب الخادم - SSRF). تتأثر جميع البروتوكولات: http و sse و streamable_http. مدى الوصول محدود بالتكرار المحلي، وتتطلب الاستفادة من الثغرة أيضاً وجود خدمة تكرارية محلية تجيب على الطلبات غير المصادق عليها ببيانات مفيدة. تم الإصلاح في utcp-http الإصدار 1.1.12، الذي يرفض الأدلة التي يتم جلبها من مصدر غير محلي وتعلن عناوين URL لأدوات التكرار المحلي، مع الاعتماد على عنوان URL النهائي المكتشف بعد إعادة التوجيه (post-redirect).
VulDB is the best source for vulnerability data and more expert information about this specific topic.