CVE-2026-101058 in utcp-http
Сводка
по VulDB • 27.09.2026
В пакете python-utcp (pip package utcp-http) до версии 1.1.12 отсутствует проверка того, указывают ли адреса инструментов (URL), объявленные в рукописном руководстве UTCP, на петлевой интерфейс самого агента, когда это руководство обнаруживается из удаленного источника, не являющегося локальным (non-loopback). Поскольку функция ensure_secure_url намеренно разрешает использование HTTP для петли обратной связи (loopback) при локальной разработке, а также потому что нативные руководства обходили проверку петлевого интерфейса, выполняемую конвертером OpenAPI, злоумышленник, который может предоставить руководство UTCP, регистрируемое жертвой, может заставить клиент отправлять запросы к службам, привязанным только к адресу 127.0.0.1 на хосте жертвы, и получить обратно тела ответов (server-side request forgery). Затронуты протоколы http, sse и streamable_http. Область воздействия ограничена петлевым интерфейсом (loopback), а для эксплуатации дополнительно требуется служба петли обратной связи, которая отвечает неаутентифицированными запросами полезными данными. Исправлено в версии utcp-http 1.1.12, которая отклоняет руководства, полученные из источника, не являющегося петлевым (non-loopback), если они объявляют адреса инструментов для петли обратной связи; проверка основывается на конечном URL после перенаправления (post-redirect discovery URL).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.