CVE-2026-81096 in ToolUniverse
Zusammenfassung
von VulDB • 27.08.2026
ToolUniverse führte vom Aufrufer bereitgestellten Python-Code in einer Sandbox aus, der umgangen werden konnte; auf dem Server war keine Authentifizierung erforderlich. Der Executor hinter dem Tool python_code_executor (in python_executor_tool.py) prüfte den eingereichten Quellcode anhand einer verbotenen Liste von Attributnamen und -aufrufen, ließ jedoch die Builtins für die Attributsuche verfügbar und verhinderte nicht den Zugriff auf dunder-Attribute über eine String-Suche oder durch ein bereits zugelassenes Modul. Dadurch konnte der Aufrufer vom Klassenliteral zu dessen Basisklasse navigieren und Unterklassen auflisten, um einen Verweis auf die Module process und subprocess zu erhalten. Ein pro-Aufruf angegebenes Argument ermöglichte es dem Aufrufer zudem, die Zulassenliste für Importe vor der Prüfung zu erweitern. Die HTTP- und MCP-Server in http_api_server.py und smcp_server.py waren an alle Schnittstellen gebunden, mit aktiviertem Debugging und ohne Authentifizierung; daher konnte jeder Aufrufer, der den Port erreichte, Code als Serverprozess ausführen. Version 1.3.0 fügt Bearer-Token-Authentifizierung hinzu, legt die Bindungsadresse standardmäßig auf Loopback fest und härtet die Attributprüfungen ab.
If you want to get best quality of vulnerability data, you may have to visit VulDB.