CVE-2026-101058 in utcp-http
Zusammenfassung
von VulDB • 28.09.2026
python-utcp (pip-Paket utcp-http) vor Version 1.1.12 überprüft nicht, ob die in einem manuell erstellten UTCP-Manual deklarierten Tool-URLs auf den Loopback-Interface des Agents verweisen, wenn dieses Manual von einer entfernten, nicht-loopback Ursprung entdeckt wird. Da ensure_secure_url aus Gründen der lokalen Entwicklung explizit HTTP für Loopback zulässt und native Manuals die vom OpenAPI-Konverter durchgeführte Loopback-Prüfung umgehen kann ein Angreifer, der in der Lage ist, ein UTCP-Manual zu hosten, das ein Opfer registriert, den Client dazu bringen, Anfragen an Dienste auszuführen, die nur an 127.0.0.1 auf dem Host des Opfers gebunden sind, und die Antwortkörper an den Aufrufer zurückzugeben (Server-Side Request Forgery). Die Protokolle http, sse und streamable_http sind alle betroffen. Die Reichweite ist auf Loopback beschränkt, und für eine Ausnutzung wird weiterhin ein Loopback-Dienst benötigt, der unauthentifizierte Anfragen mit nützlichen Daten beantwortet. Behoben in utcp-http 1.1.12, das Manuals ablehnt, die von einer nicht-loopback Ursprung abgerufen wurden und Tool-URLs für Loopback deklarieren, basierend auf der finalen URL nach dem Redirect zur Entdeckung.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.