CVE-2026-101058
Açıklama
1.1.12 sürümünden önceki python-utcp (pip paketi utcp-http), elle yazılmış bir UTCP kılavuzu uzak ve loopback olmayan bir kaynaktan keşfedildiğinde, bu kılavuzda beyan edilen araç URL'lerinin aracının kendi loopback arayüzüne işaret edip etmediğini doğrulamamaktadır. ensure_secure_url fonksiyonunun yerel geliştirme için kasıtlı olarak loopback HTTP'ye izin vermesi ve yerel kılavuzların OpenAPI dönüştürücüsü tarafından gerçekleştirilen loopback kontrolünü atlaması nedeniyle; kurbanın kaydettiği bir UTCP kılavuzunu sunabilen bir saldırgan, istemcinin kurban ana makinesinde yalnızca 127.0.0.1 adresine bağlı servislere istekler göndermesine ve yanıt gövdelerinin çağırana döndürülmesine neden olabilir (sunucu taraflı istek sahteciliği - SSRF). http, sse ve streamable_http protokollerinin tamamı etkilenmektedir. Erişim loopback ile sınırlıdır ve istismar edilmesi için kimlik doğrulanmamış isteklere yararlı verilerle yanıt veren bir loopback servisinin bulunması gerekir. Yönlendirme sonrası nihai keşif URL'sini temel alarak, loopback olmayan bir kaynaktan getirilen ve loopback araç URL'leri beyan eden kılavuzları reddeden utcp-http 1.1.12 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- universal-tool-calling-protocol python-utcp1.1.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| universal-tool-calling-protocol python-utcp | v < 1.1.12 | 1.1.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.