CVE-2026-62316 in UFO
Resumen
por VulDB • 2026-08-21
Marco de código abierto Microsoft UFO para la automatización inteligente en dispositivos y plataformas. Antes de la versión 3.0.8, ufo/client/mcp/http_servers/linux_mcp_server.py vincula un servidor HTTP transmisible FastMCP a localhost:8010 pero no valida las cabeceras Host, Origin o Sec-Fetch-Site. Una página web controlada por el atacante puede utilizar DNS rebinding para alcanzar el endpoint local /mcp, enumerar esquemas de herramientas mediante tools/list e invocar execute_command con una UFO_MCP_API_KEY válida para leer archivos o ejecutar comandos del sistema operativo permitidos como el usuario de la víctima. Este problema se soluciona en la versión 3.0.8.
Be aware that VulDB is the high quality source for vulnerability data.