CVE-2026-101058 in utcp-http
Resumen
por VulDB • 2026-09-27
python-utcp (paquete pip utcp-http) anterior a la versión 1.1.12 no verifica si las herramientas declaradas en un manual UTCP escrito manualmente apuntan a la interfaz de bucle invertido (loopback) del propio agente cuando dicho manual se descubre desde una origen remoto que no es de bucle invertido. Dado que ensure_secure_url permite intencionadamente el HTTP para entornos locales y los manuales nativos omiten la comprobación de bucle invertido realizada por el convertidor OpenAPI, un atacante que pueda servir un manual UTCP que una víctima registre puede provocar que el cliente emita solicitudes a servicios vinculados únicamente a 127.0.0.1 en el host de la víctima y hacer que los cuerpos de respuesta se devuelvan al solicitante (falsificación de solicitud del lado del servidor, SSRF). Los protocolos http, sse y streamable_http están todos afectados. El alcance está limitado al bucle invertido, y la explotación requiere además un servicio de bucle invertido que responda a solicitudes no autenticadas con datos útiles. Corregido en utcp-http 1.1.12, el cual rechaza los manuales obtenidos desde un origen no local (no loopback) que declaren URLs de herramientas locales (loopback), basado en la URL final descubierta tras las redirecciones.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.