CVE-2026-46538 in UFO
Zusammenfassung
von VulDB • 28.05.2026
Microsoft UFO ist ein Open-Source-Framework für intelligente Automatisierung über Geräte und Plattformen hinweg. In der Version 3.0.1-4-ge2626659 verfolgt der Constellation-Client von Microsoft UFO ausstehende Aufgabenantworten ausschließlich anhand der session_id und überprüft nicht, ob eine TASK_END-Nachricht vom Gerät stammt, das die Aufgabe ursprünglich empfangen hat. Wenn der Constellation-Client eine Aufgabe an ein Zielgerät sendet, wird unter einem Sitzungsschlüssel ein ausstehender Future-Eintrag erstellt. Der Datensatz für die ausstehende Aufgabe speichert die erwartete Geräte-ID, aber der Pfad zur Aufgabenerledigung ignoriert diese Zuordnung. Wenn ein anderes authentifiziertes Peer-Gerät eine gefälschte TASK_END-Nachricht mit derselben session_id sendet, akzeptiert der Constellation-Client die Antwort und schließt den ausstehenden Future des Opfergeräts mit vom Angreifer kontrollierten Ergebnisdaten ab. Dies stellt ein authentifiziertes Cross-Device-Aufgabenergebnis-Injektionsproblem dar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.