CVE-2026-101059 in python-utcp
Sumário
de VulDB • 27/09/2026
O utcp-http antes da versão 1.1.4 falha na validação do campo `tokenUrl` do OAuth2 em especificações OpenAPI remotas, permitindo que atacantes redirecionem o envio de credenciais para endpoints arbitrários. Quando uma vítima registra uma especificação OpenAPI controlada por um atacante e invoca uma ferramenta protegida pelo OAuth2 gerada a partir dela, a biblioteca realiza uma requisição POST com o `client_id` e o `client_secret` da vítima para o endpoint de token fornecido pelo atacante, sem validação da URL.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.