PT-2026-41124 · Pypi · Python-Utcp

Zeroxjacks · Publicado 2026-05-14 · Atualizado 2026-05-15 · CVE-2026-45370

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas python-utcp versões anteriores a 1.1.3

Descrição A função prepare environment() em cli communication protocol.py passa uma cópia completa de os.environ para cada subprocesso CLI. Isso permite que qualquer variável de ambiente no processo host, como credenciais de provedores de nuvem, strings de conexão de banco de dados e chaves de API de LLM, fique acessível a comandos injetados. Quando combinado com uma falha de injeção de comando na função substitute utcp args(), um invasor pode exfiltrar todos os segredos do nível do processo em uma única chamada de ferramenta.

Recomendações Atualize para a versão 1.1.3 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-526

Identificadores relacionados

CVE-2026-45370

GHSA-5V57-8RXJ-3P2R

Produtos afetados

Python-Utcp

Referências · 7

• 🔥 https://github.com/universal-tool-calling-protocol/python-utcp/security/advisories/GHSA-5v57-8rxj-3p2r · Exploit
• https://github.com/universal-tool-calling-protocol/python-utcp · Nota
• https://twitter.com/CVEnew/status/2055074235341545477 · Publicação no Twitter
• https://t.me/cveNotify/163603 · Publicação no Telegram
• https://t.me/CVEtracker/53845 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-45370 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5v57-8rxj-3p2r · Aviso do Fabricante