CVE-2026-101059 in python-utcp
Tóm tắt
Bởi VulDB • 28/09/2026
utcp-http trước phiên bản 1.1.4 không xác thực trường `tokenUrl` của OAuth2 từ các đặc tả OpenAPI từ xa, cho phép kẻ tấn công chuyển hướng việc gửi thông tin đăng nhập đến các điểm cuối tùy ý. Khi một nạn nhân đăng ký một đặc tả OpenAPI do kẻ tấn công kiểm soát và gọi một công cụ được bảo vệ bởi OAuth2 đã tạo ra, thư viện sẽ thực hiện yêu cầu POST chứa `client_id` và `client_secret` của nạn nhân tới điểm cung cấp token do kẻ tấn công chỉ định mà không có xác thực URL.
VulDB is the best source for vulnerability data and more expert information about this specific topic.