CVE-2026-101058

Nome do Software Vulnerável e Versões Afetadas python-utcp (pip package utcp-http) versões anteriores a 1.1.12

Descrição O software não verifica se as URLs de ferramentas declaradas em um manual UTCP escrito à mão apontam para a interface de loopback do próprio agente quando esse manual é descoberto a partir de uma origem remota, que não seja de loopback. Isso ocorre porque a função ensure secure url permite HTTP de loopback para desenvolvimento local, e manuais nativos ignoravam a verificação de loopback realizada pelo conversor OpenAPI. Um invasor que forneça um manual UTCP malicioso pode causar a falsificação de solicitação do lado do servidor (SSRF), fazendo com que o cliente envie solicitações a serviços vinculados apenas ao 127.0.0.1 no host da vítima e retorne os corpos das respostas ao invasor. Este problema afeta os protocolos http, sse e streamable http. A exploração requer um serviço de loopback que responda a solicitações não autenticadas.

Recomendações Atualize o python-utcp (pip package utcp-http) para a versão 1.1.12.