CVE-2026-101059

WysokieCVSS 7.1

Opublikowano: 27/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

utcp-http przed wersją 1.1.4 nie waliduje pola tokenUrl OAuth2 z zdalnych specyfikacji OpenAPI, co pozwala atakującym przekierować przesyłanie poświadczeń do dowolnych punktów końcowych. Gdy ofiara rejestruje specyfikację OpenAPI kontrolowaną przez atakującego i wywołuje wygenerowane narzędzie chronione OAuth2, biblioteka wysyła client_id i client_secret ofiary do punktu końcowego tokenu dostarczonego przez atakującego bez walidacji URL.

Ocena ryzyka

Ryzyko polega na kradzieży poświadczeń OAuth2 (client_id i client_secret) użytkowników, co może prowadzić do nieautoryzowanego dostępu do chronionych zasobów i naruszenia bezpieczeństwa kont.

Rekomendacja

Należy zaktualizować utcp-http do wersji 1.1.4 lub nowszej, która zawiera poprawkę walidacji URL tokenUrl.

Inne podatności w utcp-http

CVE-2026-45366Średnie
Biblioteka @utcp/http w wersji przed 1.1.2 jest podatna na ślepe fałszowanie żądań po stronie serwera (SSRF). Luka wynika z niespójności granic zaufania między ręcznym wykrywaniem a wywoływaniem narzędzi, gdzie funkcja callTool() nie ponownie weryfikuje adresu URL, a OpenApiConverter ślepo ufa złośliwym specyfikacjom OpenAPI.

Oryginalny opis (angielski, źródło NVD)

utcp-http before 1.1.4 fails to validate the OAuth2 tokenUrl field from remote OpenAPI specifications, allowing attackers to redirect credential submission to arbitrary endpoints. When a victim registers an attacker-controlled OpenAPI spec and invokes a generated OAuth2-protected tool, the library POSTs the victim's client_id and client_secret to the attacker-supplied token endpoint without URL validation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS