PT-2026-38625
CVE-2026-44661
·
تاريخ النشر
2026-05-07
·
تاريخ التحديث
2026-09-27
الوصف من
CVSS 3.1
4.7
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات python-utcp الأقدم من 1.1.3
الوصف
المكوّن الإضافي
utcp-http معرض لثغرة تزوير الطلبات من جانب الخادم (SSRF) العمياء، وهي ثغرة تسمح للمهاجم بحث الخادم على إرسال طلبات إلى موقع غير مقصود. يحدث هذا بسبب عدم اتساق حدود الثقة بين الاكتشاف اليدوي واستدعاء الأداة. في حين أن الدالة register manual() تتحقق من صحة عنوان URL الخاص بالاكتشاف مقابل قائمة السماح لـ HTTPS أو loopback، فإن الدالتين call tool() وcall tool streaming() تعيدان استخدام عنوان tool call template.url الذي تم تحليله دون إعادة التحقق من صحته. بالإضافة إلى ذلك، يثق محول OpenAPI في عنوان servers[0].url المعلن في مواصفة يستضيفها المهاجم. يمكن للمهاجم الذي يستضيف مواصفة OpenAPI ضارة على نقطة نهاية HTTPS شرعية أن يعلن عن عناوين داخلية، مثل http://127.0.0.1:9090 أو http://169.254.169.254، مما يتسبب في قيام المحول بإنتاج أدوات تشير إلى خدمات داخلية على مضيف الوكيل. تؤثر هذه الثغرة على بروتوكولات utcp http.http وutcp http.streamable http وutcp http.sse. كانت هناك ثغرة منفصلة لتجاوز البادئة حيث سمح فحص باستخدام startswith(”http://localhost“) بمرور عناوين URL مثل http://localhost.evil.com.التوصيات
قم بالتحديث إلى الإصدار 1.1.3.
تجنب استدعاء
register manual() مع أي عنوان URL يتحكم فيه طرف غير موثوق به، حتى عبر HTTPS.تقييد الوصول إلى الشبكة الخارجية من المضيف الذي يعمل عليه الوكيل لضمان العناوين الداخلية، مثل RFC1918 و169.254.0.0/16 وloopba
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾