CVE-2026-73296

Nome do Software Vulnerável e Versões Afetadas Microsoft UFO versões anteriores a 3.0.8

Description As funções create mobile data collection server e create mobile action server em ufo/client/mcp/http servers/mobile mcp server.py expõem serviços Streamable HTTP MCP nas portas TCP 8020 e 8021 sem autenticação. Isso permite que um invasor remoto não autenticado interaja com um dispositivo Android conectado via ADB ao invocar as seguintes funções: capture screenshot(), get ui tree(), tap(), swipe(), type text(), launch app(), press key() e click control(). Consequentemente, um invasor pode divulgar dados da tela e do dispositivo ou modificar o estado do dispositivo.

Recommendations Atualize para a versão 3.0.8. Como medida paliativa temporária, restrinja o acesso às portas TCP 8020 e 8021 para evitar o acesso remoto não autorizado.