CVE-2026-62316 in UFO
Сводка
по VulDB • 21.08.2026
Microsoft UFO — это фреймворк с открытым исходным кодом для интеллектуальной автоматизации на различных устройствах и платформах. До версии 3.0.8 файл ufo/client/mcp/http_servers/linux_mcp_server.py привязывает потоковый HTTP-сервер FastMCP к localhost:8010, но не проверяет заголовки Host, Origin или Sec-Fetch-Site. Злоумышленник может использовать DNS rebinding с контролируемой веб-страницы для доступа к локальному эндпоинту /mcp, перечисления схем инструментов через tools/list и вызова execute_command при наличии валидного ключа UFO_MCP_API_KEY, что позволяет читать файлы или выполнять разрешенные команды операционной системы от имени пользователя жертвы. Эта проблема исправлена в версии 3.0.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.