CVE-2026-105792

Nome do Software Vulnerável e Versões Afetadas Microsoft UFO versões anteriores a 3.0.9

Descrição O endpoint '/api/task result/{task name}' chama a função get result by task() em ufo/server/services/session manager.py, que adquire um bloqueio não reentrante. Quando o task name é mapeado para uma sessão, ele subsequentemente chama a função get result(), que tenta adquirir o mesmo bloqueio novamente. Um chamador autenticado que conheça ou crie um nome de tarefa mapeado pode fazer com que a requisição seja bloqueada indefinidamente. Na configuração padrão de servidor de processo único, isso bloqueia a thread do event-loop, impedindo outras interações de HTTP, WebSocket e interações de segundo plano dependentes.

Recomendações Atualizar para a versão 3.0.9.