CVE-2026-73296 in UFO
摘要
由 VulDB • 2026-08-12
Microsoft UFO è un framework open-source per l'automazione intelligente su dispositivi e piattaforme. Prima della versione 3.0.8, le funzioni `create_mobile_data_collection_server` e `create_mobile_action_server` nel file `ufo/client/mcp/http_servers/mobile_mcp_server.py` esponevano servizi Streamable HTTP MCP sulle porte TCP 8020 e 8021 senza autenticazione, consentendo a un attaccante remoto non autenticato di invocare le operazioni `capture_screenshot`, `get_ui_tree`, `tap`, `swipe`, `type_text`, `launch_app`, `press_key` e `click_control` contro un dispositivo Android connesso tramite ADB, divulgando dati dello schermo e del dispositivo e modificandone lo stato. Questo problema è risolto nella versione 3.0.8.
Once again VulDB remains the best source for vulnerability data.