CVE-2026-101057 in python-utcp
요약
\~에 의해 VulDB • 2026. 09. 27.
utcp-mcp(python-utcp의 MCP 플러그인)은 1.1.2 버전까지 호출 템플릿의 mcpServers 구성에 지정된 HTTP 및 WebSocket MCP 서버 URL로 연결할 때, HTTP 계열 플러그인이 적용하는 ensure_secure_url 검증을 수행하지 않습니다. 따라서 HTTPS/WSS 또는 루프백 규칙이 강제되지 않습니다. 평문(HTTP)이며 비루프백인 MCP 서버 URL을 지정한 호출 템플릿은 구성대로 다이얼링되어 MCP 핸드셰이크가 네트워크 인터셉션에 노출되고, 내부 호스트로의 평문 연결이 허용됩니다. mcpServers 구성은 원격 데이터가 아닌 운영자가 작성한 것이며, 해당 연결은 바디를 반환하는 임의 요청이 아닌 MCP 핸드셰이크이므로 실제 악용 가능성은 제한적입니다. 원본 보고서에서 설명된 OAuth2 token_url 자격 증명 경로는 영향 받는 버전에서 도달할 수 없었습니다. 이는 OAuth2 핸들러가 호출되지 않았고 호출 템플릿의 auth 필드가 읽히지 않았기 때문입니다. utcp-mcp 1.1.3에서 연결 전에 서버 URL을 검증하도록 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.