CVE-2026-46414

Cihazlar və platformalar arasında intellektual avtomatlaşdırma üçün nəzərdə tutulmuş açıq mənbəli Microsoft UFO framework-unda zəiflik aşkar edilmişdir. 3.0.1-4-ge2626659 versiyasında Microsoft UFO-nun WebSocket idarəetmə müstəvisi tapşırıq mesajlarında klient tərəfindən təqdim edilən kimlik və rol sahələrinə etibar edir. Klient bağlantısı adi cihaz kimi qeydiyyatdan keçə bilər, lakin daha sonra client_type="constellation" və target_id=<victim-device-id> olduğunu iddia edən TASK mesajı göndərə bilər. Server həmin WebSocket bağlantısı üçün qeydiyyata alınmış rolu tətbiq etmək əvəzinə, şəbəkə mesajındakı rol və hədəf dəyərlərinə etibar edir. Nəticədə, ortaq server tokeninə malik olan istənilən autentifikasiya olunmuş WebSocket klienti daha yüksək imtiyazlı constellation rolunu saxtalaşa və hücumçunun nəzarətində olan tapşırıqları digər qoşulmuş cihaza yönləndirə bilər. Eyni klient reyestri həmçinin dublikat client_id qeydiyyatına icazə verir ki, bu da mövcud aktiv klientin saxlanılan websocket, rol və tapşırıq protokolunun üzərinə yazılmasına səbəb olur. Bu, peer tapşırığının ələ keçirilməsinə gətirib çıxaran, autentifikasiya olunmuş WebSocket rolu/kimliyinin saxtalaşdırılması problemidir.