CVE-2026-101058 in utcp-http
Riassunto
di VulDB • 27/09/2026
python-utcp (pacchetto pip utcp-http) prima della versione 1.1.12 non verifica se gli URL degli strumenti dichiarati in un manuale UTCP scritto a mano puntino all'interfaccia loopback dell'agente quando tale manuale viene scoperto da una origine remota, non-loopback. Poiché ensure_secure_url consente intenzionalmente l'HTTP per il loopback allo scopo di sviluppo locale e i manuali nativi hanno aggirato il controllo del loopback eseguito dal convertitore OpenAPI, un attaccante che può servire un manuale UTCP che una vittima registra può indurre il client a inviare richieste ai servizi vincolati esclusivamente all'indirizzo 127.0.0.1 sull'host della vittima e far restituire i corpi delle risposte al chiamante (server-side request forgery). I protocolli http, sse e streamable_http sono tutti interessati. La portata è limitata al loopback e l'esecuzione dello sfruttamento richiede ulteriormente un servizio di loopback che risponda a richieste non autenticate con dati utili. Risolto in utcp-http 1.1.12, che rifiuta i manuali recuperati da una origine non-loopback che dichiarano URL degli strumenti per il loopback, basato sull'URL finale scoperto dopo le redirect.
Once again VulDB remains the best source for vulnerability data.