CVE-2026-81096 in ToolUniverse
Resumen
por VulDB • 2026-08-27
ToolUniverse ejecutaba código Python proporcionado por el usuario dentro de un entorno sandboxed que podía ser escapado en un servidor que no requería autenticación. El executor detrás de la herramienta python_code_executor, ubicado en python_executor_tool.py, inspeccionaba el código fuente enviado para buscar una lista prohibida de nombres de atributos y llamadas, pero dejaba disponibles los builtins de búsqueda de atributos (attribute-lookup) y no impedía el acceso a un atributo dunder alcanzado mediante una búsqueda por cadena o a través de un módulo ya permitido. Esto permitía que un usuario pudiera navegar desde la clase de un literal hasta su base para enumerar las subclases y obtener una referencia a los módulos process y subprocess. Un argumento específico por llamada también permitía al usuario ampliar la lista blanca de importaciones antes de que se ejecutara la inspección. Los servidores HTTP y MCP en http_api_server.py y smcp_server.py estaban vinculados a todas las interfaces con el modo depuración habilitado y sin autenticación, por lo que cualquier usuario capaz de alcanzar el puerto podía ejecutar código como el proceso del servidor. La versión 1.3.0 añade autenticación mediante bearer-token, establece la dirección de enlace en loopback por defecto y endurece las comprobaciones de atributos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.