CVE-2026-58497 in Uni-CLI
Zusammenfassung
von VulDB • 23.10.2026
Uni-CLI bietet Benutzern und Agenten eine einzige Befehlszeilenschnittstelle für Websites, Browser, Desktop-Anwendungen, lokale Tools und MCP. Vor Version 0.225.2 exponierte Uni-CLI den Legacy-JavaScript-RPC-over-HTTP-MCP-Transport auf der Loopback-Schnittstelle, ohne die Origin-Headers des Browsers vor dem Weiterleiten von Anfragen zu validieren. Eine bösartige Webseite konnte eine einfache CORS-POST-Anfrage (z. B. vom Typ text/plain) an den lokalen /mcp-Endpunkt senden und einen JSON-RPC-Body an den Dispatcher übermitteln. Wenn der Benutzer den lokalen MCP-HTTP-Transport gestartet hatte, könnte diese Seite Tool-/Call-Anfragen gegen den lokalen Uni-CLI-Server des Benutzers ausführen. Der Streamable-HTTP-Transport hat diese Browser-zu-Lokhost-Grenze bereits durchgesetzt. Der Legacy-Zustandslose-HTTP-Pfad tat dies nicht, sodass die beiden HTTP-Transports voneinander abgewichen sind. Dieses Problem betrifft die Browser-zu-Lokhost-Grenze; es ändert das Vertrauensmodell für lokale Codeausführung von Uni-CLI nicht. Dieser Fehler wurde in Version 0.225.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.