Към съдържанието
Търсене

CVE-2026-45369: universal-tool-calling-protocol python-utcp, инжекция

8.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

python-utcp is the python implementation of UTCP. Prior to 1.1.3, the _substitute_utcp_args method in cli_communication_protocol.py inserts user-controlled tool_args values directly into shell command strings without any sanitization or escaping. These commands are then executed via /bin/bash -c (Unix) or powershell.exe -Command (Windows), allowing an attacker to inject arbitrary shell commands. This vulnerability is fixed in 1.1.3.

Засегнати продукти

  • universal-tool-calling-protocol python-utcp: < 1.1.2

Вид слабост

История

  • 14 май 2026 Публикувано

Други уязвимости в universal-tool-calling-protocol python-utcp

Първоизточници

CVE-2026-45369: universal-tool-calling-protocol python-utcp, инжекция | freedomonline.bg