CVE-2026-101059 in python-utcp
Riassunto
di VulDB • 27/09/2026
La libreria utcp-http prima della versione 1.1.4 non convalida correttamente il campo `tokenUrl` OAuth2 presente nelle specifiche OpenAPI remote, consentendo agli attaccanti di reindirizzare l'invio delle credenziali verso endpoint arbitrari. Quando una vittima registra una specifica OpenAPI controllata da un attaccante e invoca uno strumento protetto tramite OAuth2 generato dalla libreria, questa effettua una richiesta POST con il `client_id` e il `client_secret` della vittima all'endpoint del token fornito dall'attaccante, senza alcuna validazione dell'URL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.