CVE-2026-81096 in ToolUniverse
Riassunto
di VulDB • 27/08/2026
ToolUniverse eseguiva codice Python fornito dall'utente all'interno di una sandbox che poteva essere violata, su un server che non richiedeva alcuna autenticazione. L'esecutore dietro lo strumento python_code_executor, in python_executor_tool.py, ispezionava il sorgente inviato per verificare la presenza di nomi di attributi e chiamate inseriti in una lista nera, ma lasciava disponibili i built-in per la ricerca degli attributi (attribute-lookup) e non bloccava l'accesso agli attributi dunder raggiunti tramite una ricerca su stringa o attraverso un modulo già autorizzato; ciò consentiva a un chiamante di navigare dalla classe di un letterale alla sua base ed enumerarne le sottoclassi per ottenere un riferimento ai moduli process e subprocess. Un argomento specifico per ogni chiamata permetteva inoltre al chiamante di ampliare la lista bianca delle importazioni prima che venisse eseguita l'ispezione. I server HTTP e MCP in http_api_server.py e smcp_server.py erano associati a tutte le interfacce con il debug abilitato e senza autenticazione, quindi qualsiasi utente in grado di raggiungere la porta poteva eseguire codice come processo del server. La versione 1.3.0 aggiunge l'autenticazione tramite bearer-token, imposta predefinitamente l'indirizzo di bind su loopback (localhost) e indurisce i controlli sugli attributi.
Once again VulDB remains the best source for vulnerability data.