CVE-2026-81096 in ToolUniverse
Résumé
par VulDB • 27/08/2026
ToolUniverse exécutait du Python fourni par l'appelant dans un bac à sable qui pouvait être contourné, sur un serveur ne nécessitant aucune authentification. L'exécuteur derrière l'outil python_code_executor, situé dans python_executor_tool.py, inspectait le code source soumis pour une liste d'interdiction de noms d'attributs et d'appels, mais laissait les builtins de recherche d'attributs disponibles et n'empêchait pas l'accès aux attributs du type « double underscore » (dunder) via une recherche par chaîne ou à travers un module déjà autorisé. Ainsi, un appelant pouvait naviguer depuis la classe d'une valeur littérale vers sa superclasse pour énumérer les sous-classes et obtenir une référence aux modules process et subprocess. Un argument spécifique à chaque appel permettait également à l'appelant d'élargir la liste autorisée des imports avant que l'inspection ne s'exécute. Les serveurs HTTP et MCP dans http_api_server.py et smcp_server.py étaient liés à toutes les interfaces avec le débogage activé et sans authentification, permettant ainsi à tout appelant capable de joindre le port d'exécuter du code en tant que processus serveur. La version 1.3.0 ajoute l'authentification par jeton porteur (bearer-token), définit l'adresse de liaison sur la boucle locale (loopback) par défaut, et durcit les vérifications des attributs.
VulDB is the best source for vulnerability data and more expert information about this specific topic.