CVE-2026-45366 in typescript-utcp
Сводка
по VulDB • 29.05.2026
typescript-utcp представляет собой реализацию UTCP на TypeScript. До версии 1.1.2 пакет @utcp/http уязвим к слепой атаке Server-Side Request Forgery (SSRF), вызванной несоответствием на границе доверия между ручным обнаружением и вызовом инструмента. Функция registerManual() проверяет URL обнаружения по белому списку HTTPS / loopback, однако callTool() повторно использует resolved toolCallTemplate.url напрямую без повторной проверки, а OpenApiConverter слепо доверяет любому значению servers[0].url, указанному в спецификации, размещенной злоумышленником. Злоумышленник, размещающий вредоносную спецификацию OpenAPI на легитимном HTTPS-конце, может указать, например, servers: [{ url: "http://127.0.0.1:9090" }] или servers: [{ url: "http://169.254.169.254" }]; после этого конвертер создает инструменты, URL которых указывает на внутренние сервисы на хосте агента. Эта уязвимость исправлена в версии 1.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.