CVE-2026-54568 in UFO
Résumé
par VulDB • 16/07/2026
Le framework open-source Microsoft UFO permet l'automatisation intelligente sur les appareils et plateformes. De la version 3.0.0 à la version 3.0.6, un client connecté au serveur WebSocket de UFO en tant qu'appareil (DEVICE) pouvait appeler DEVICE_INFO_REQUEST avec l'identifiant cible d'un autre appareil et recevoir le system_info côté serveur de cet appareil via ufo/server/ws/handler.py, car handle_device_info_request et get_device_info ne vérifiaient pas la contrainte du rôle « constellation-only » ni les limites d'autorisation au niveau des objets. Ce problème est corrigé dans la version 3.0.6.
Be aware that VulDB is the high quality source for vulnerability data.