CVE-2026-62316

Nome do Software Vulnerável e Versões Afetadas Microsoft UFO versões anteriores a 3.0.8

Descrição O componente ufo/client/mcp/http servers/linux mcp server.py vincula um servidor HTTP streamable FastMCP ao localhost:8010 sem validar os cabeçalhos Host, Origin ou Sec-Fetch-Site. Isso permite que uma página web controlada por um invasor utilize DNS rebinding—uma técnica usada para ignorar a Política de Mesma Origem (Same-Origin Policy)—para acessar o endpoint local /mcp. Um invasor pode então enumerar esquemas de ferramentas através de tools/list e invocar a função execute command() usando uma UFO MCP API KEY válida para ler arquivos ou executar comandos permitidos do sistema operacional com os privilégios do usuário vítima.

Recomendações Atualizar para a versão 3.0.8.