PT-2026-41123 · Pypi · Python-Utcp

Zeroxjacks · Publicado 2026-05-14 · Atualizado 2026-05-16 · CVE-2026-45369

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas python-utcp versões anteriores a 1.1.3

Descrição O método substitute utcp args em cli communication protocol.py insere valores de tool args controlados pelo usuário diretamente em strings de comando do shell sem sanitização ou escape. Esses comandos são executados via /bin/bash -c no Unix ou powershell.exe -Command no Windows, permitindo que um invasor não autenticado injete metacaracteres de shell, como ;, |, &, crases e $(), para obter a execução remota de código no sistema host.

Recomendações Atualize para a versão 1.1.3 ou superior. Como medida paliativa temporária, recuse todos os tool args controlados por invasores.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-45369

GHSA-33P6-5JXP-P3X4

Produtos afetados

Python-Utcp

Referências · 10

• 🔥 https://github.com/universal-tool-calling-protocol/python-utcp/security/advisories/GHSA-33p6-5jxp-p3x4 · Exploit
• https://github.com/universal-tool-calling-protocol/python-utcp · Nota
• https://twitter.com/UpwindMDR/status/2055050273244971213 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-33p6-5jxp-p3x4 · Aviso do Fabricante
• https://t.me/cveNotify/163603 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2055074234058113180 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45369 · Nota de Segurança
• https://t.me/CVEtracker/53844 · Publicação no Telegram
• https://t.me/cveNotify/163711 · Publicação no Telegram
• https://t.me/CVEtracker/53845 · Publicação no Telegram