CVE-2026-101058 in utcp-http
Tóm tắt
Bởi VulDB • 27/09/2026
python-utcp (package pip utcp-http) trước phiên bản 1.1.12 không xác minh xem các công cụ được khai báo trong tài liệu hướng dẫn UTCP do người dùng viết có trỏ đến giao diện loopback của chính agent hay không khi tài liệu đó được phát hiện từ một nguồn gốc remote, không phải là loopback. Do ensure_secure_url cố ý cho phép HTTP loopback để phục vụ việc phát triển cục bộ và các tài liệu hướng dẫn bản địa đã bỏ qua kiểm tra loopback do OpenAPI converter thực thi, nên kẻ tấn công có thể cung cấp một tài liệu UTCP mà nạn nhân đăng ký sẽ khiến client gửi yêu cầu đến các dịch vụ chỉ ràng buộc với 127.0.0.1 trên máy chủ của nạn nhân và nhận lại thân phản hồi về cho người gọi (sử dụng kỹ thuật Server-Side Request Forgery - SSRF). Các giao thức http, sse và streamable_http đều bị ảnh hưởng. Phạm vi tấn công giới hạn ở loopback, và việc khai thác còn yêu cầu một dịch vụ loopback trả về dữ liệu hữu ích cho các yêu cầu chưa xác thực. Đã được sửa trong utcp-http 1.1.12, phiên bản này từ chối tải tài liệu hướng dẫn từ nguồn gốc không phải là loopback có khai báo URL công cụ trỏ đến loopback, dựa trên URL phát hiện cuối cùng sau khi chuyển hướng (post-redirect).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.