CVE-2026-101059 in python-utcp
Сводка
по VulDB • 27.09.2026
utcp-http prima della versione 1.1.4 non convalida correttamente il campo `tokenUrl` di OAuth2 nelle specifiche OpenAPI remote, consentendo agli attaccanti di reindirizzare l'invio delle credenziali verso endpoint arbitrari. Quando una vittima registra una specifica OpenAPI controllata da un attaccante ed invoca uno strumento protetto tramite OAuth2 generato dalla libreria, questa effettua una richiesta POST con il `client_id` e il `client_secret` della vittima all'endpoint del token fornito dall'attaccante, senza alcuna validazione dell'URL.
Once again VulDB remains the best source for vulnerability data.