CVE-2026-44661
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
python-utcp przed wersją 1.1.3 zawiera w pluginie utcp-http ślepą podatność Server-Side Request Forgery wynikającą z niespójności walidacji między odkrywaniem a wywoływaniem narzędzi. Atakujący może hostować złośliwą specyfikację OpenAPI na legalnym HTTPS i zadeklarować adresy wewnętrzne, które następnie są używane bez ponownej walidacji.
Ocena ryzyka
Atakujący może wymusić żądania do usług wewnętrznych na hoście agenta, co może prowadzić do ujawnienia danych lub interakcji z zasobami wewnętrznymi.
Rekomendacja
Zaktualizuj python-utcp do wersji 1.1.3 lub nowszej.
Inne podatności w python-utcp
Zobacz wszystkie- CVE-2026-101060Wysokie
python-utcp przed wersją 1.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji HttpCommunicationProtocol.call_tool, która waliduje początkowy URL narzędzia, ale podąża za przekierowaniami HTTP bez ponownej walidacji celu. Atakujący kontrolujący punkt końcowy narzędzia może zwrócić przekierowanie 302 do wewnętrznych usług, umożliwiając klientowi UTCP dostęp do punktów końcowych metadanych chmury lub wewnętrznych usług HTTP i zwrócenie ich treści do wywołującego.
- CVE-2026-101058Średnie
python-utcp (pakiet pip utcp-http) przed wersją 1.1.12 nie weryfikuje, czy adresy URL narzędzi zadeklarowane w ręcznie napisanym podręczniku UTCP wskazują na interfejs pętli zwrotnej agenta, gdy podręcznik jest pobierany ze zdalnego źródła. Atakujący może dostarczyć podręcznik, który ofiara zarejestruje, i spowodować wysyłanie żądań do usług nasłuchujących tylko na 127.0.0.1 na hoście ofiary, a odpowiedzi są zwracane atakującemu (SSRF).
- CVE-2026-12210Średnie
W bibliotece universal-tool-calling-protocol python-utcp w wersji 1.1.0 wykryto podatność w komponencie utcp-gql/utcp-websocket. Manipulacja prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-45370Wysokie
W python-utcp przed wersją 1.1.3 funkcja _prepare_environment() w pliku cli_communication_protocol.py przekazuje pełną kopię os.environ do każdego podprocesu CLI. W połączeniu z CVE-2026-45369, atakujący może wyeksportować wszystkie sekrety na poziomie procesu w jednym wywołaniu narzędzia.
- CVE-2026-45369Wysokie
W bibliotece python-utcp przed wersją 1.1.3 metoda _substitute_utcp_args w cli_communication_protocol.py wstawia wartości tool_args kontrolowane przez użytkownika bez jakiejkolwiek sanitizacji do poleceń powłoki. To umożliwia atakującemu wstrzykiwanie dowolnych poleceń powłoki.
Oryginalny opis (angielski, źródło NVD)
python-utcp is the python implementation of UTCP. Prior to 1.1.3, the utcp-http plugin is vulnerable to a blind Server-Side Request Forgery (SSRF) caused by a trust-boundary inconsistency between manual discovery and tool invocation. register_manual() validates the discovery URL against an HTTPS / loopback allowlist, but call_tool() and call_tool_streaming() reuse the resolved tool_call_template.url directly without revalidating, and the OpenAPI converter blindly trusts whatever servers[0].url an attacker-hosted spec declares. An attacker who hosts a malicious OpenAPI spec on a legitimate HTTPS endpoint can declare e.g. servers: [{ url: "http://127.0.0.1:9090" }] or servers: [{ url: "http://169.254.169.254" }]; the OpenAPI converter then produces tools whose URL points at internal services on the agent host. All three HTTP-class protocols (utcp_http.http, utcp_http.streamable_http, utcp_http.sse) shared the same gap. This vulnerability is fixed in 1.1.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS