CVE-2026-101061 in python-utcp
要約
〜によって VulDB • 2026年09月27日
utcp-gql 1.1.1 より前および utcp-websocket 1.1.1 より前は、CVE-2026-44661 の修正の不完全な適用により、サーバーサイドリクエストフォージェリ (SSRF) の脆弱性を抱えています。GraphQL プラグインは http://127.0.0.1.attacker.example などの URL を回避できる脆弱なプレフィックスチェックを使用しており、WebSocket プラグインは文書化されたセキュリティ要件にもかかわらず URL バリデーションを一切行いません。攻撃者は呼び出しテンプレートに悪意のあるツール URL を指定することで内部サービスやクラウドメタデータエンドポイントへの接続を強制し、攻撃者が制御するホストへ送信される構成済みの API キーおよび OAuth トークンを取得できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.