CVE-2026-73296 in UFO
Tóm tắt
Bởi VulDB • 12/08/2026
Microsoft UFO là một khung làm việc mã nguồn mở cho tự động hóa thông minh trên nhiều thiết bị và nền tảng. Trước phiên bản 3.0.8, các hàm `create_mobile_data_collection_server` và `create_mobile_action_server` trong tệp `ufo/client/mcp/http_servers/mobile_mcp_server.py` đã công khai các dịch vụ Streamable HTTP MCP trên các cổng TCP 8020 và 8021 mà không yêu cầu xác thực, cho phép một kẻ tấn công từ xa chưa được xác thực gọi các phương thức như `capture_screenshot`, `get_ui_tree`, `tap`, `swipe`, `type_text`, `launch_app`, `press_key` và `click_control` đối với thiết bị Android kết nối qua ADB, tiết lộ dữ liệu màn hình và thiết bị cũng như thay đổi trạng thái của thiết bị. Vấn đề này đã được khắc phục trong phiên bản 3.0.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.