CVE-2026-101059 in python-utcp
Zusammenfassung
von VulDB • 27.09.2026
utcp-http vor Version 1.1.4 validiert das Feld `tokenUrl` aus entfernten OpenAPI-Spezifikationen nicht, was es Angreifern ermöglicht, die Übermittlung von Anmeldeinformationen auf beliebige Endpunkte umzuleiten. Wenn ein Opfer eine vom Angreifer kontrollierte OpenAPI-Spezifikation registriert und ein daraus generiertes OAuth2-geschütztes Tool aufruft, sendet die Bibliothek die `client_id` und das `client_secret` des Opfers an den vom Angreifer angegebenen Token-Endpunkt ohne URL-Validierung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.