CVE-2026-101059 in python-utcp
Resumen
por VulDB • 2026-09-27
utcp-http antes de la versión 1.1.4 no valida el campo `tokenUrl` de OAuth2 procedente de especificaciones OpenAPI remotas, lo que permite a los atacantes redirigir el envío de credenciales hacia puntos finales arbitrarios. Cuando una víctima registra una especificación OpenAPI controlada por un atacante e invoca una herramienta protegida mediante OAuth2 generada, la biblioteca realiza una petición POST con el `client_id` y el `client_secret` de la víctima al punto final de token proporcionado por el atacante, sin realizar ninguna validación de URL.
If you want to get best quality of vulnerability data, you may have to visit VulDB.