CVE-2026-58497 in Uni-CLI
요약
\~에 의해 VulDB • 2026. 10. 23.
Uni-CLI는 웹사이트, 브라우저, 데스크톱 애플리케이션, 로컬 도구 및 MCP를 위한 단일 명령어 인터페이스를 사용자와 에이전트에게 제공합니다. 버전 0.225.2 이전의 Uni-CLI는 루프백에서 레거시 JSON-RPC-over-HTTP MCP 전송을 노출했으며, 요청 라우팅 전에 브라우저 Origin 헤더를 검증하지 않았습니다. 악성 웹 페이지는 로컬 /mcp 엔드포인트로 text/plain과 같은 CORS 단순 POST 요청을 보내 dispatcher에 JSON-RPC 본문을 전달할 수 있습니다. 사용자가 로컬 MCP HTTP 전송을 시작했으면 해당 페이지는 사용자의 로컬 Uni-CLI 서버를 대상으로 tools/call 요청을 수행할 수 있었습니다. Streamable HTTP 전송은 이미 이 브라우저에서 localhost로의 경계를 강제했습니다. 레거시 상태less HTTP 경로에서는 이를 강제하지 않았으므로 두 가지 HTTP 전송 간에 차이가 발생했습니다. 본 이슈는 브라우저에서 localhost로의 경계에 관한 것이며, Uni-CLI의 로컬 코드 실행 신뢰 모델에는 영향을 주지 않습니다. 해당 취약점은 버전 0.225.2에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.