Vulnerabilidad en UFO de microsoft (CVE-2026-46538)

Microsoft UFO, framework de código abierto para automatización inteligente en todos los dispositivos y plataformas. En la versión 3.0.1-4-ge2626659, el cliente constellation de Microsoft UFO rastrea las respuestas de tareas pendientes solo por session_id y no verifica que un mensaje TASK_END provenga del dispositivo que recibió la tarea originalmente. Cuando constellation envía una tarea a un dispositivo objetivo, registra un Future pendiente bajo una clave de sesión. El registro de la tarea pendiente almacena el ID de dispositivo esperado, pero la ruta de finalización ignora esa vinculación. Si otro dispositivo par autenticado envía un TASK_END falsificado con el mismo session_id, constellation acepta la respuesta y completa el Future pendiente del dispositivo víctima con datos de resultado controlados por el atacante. Esto es un problema de inyección de resultados de tareas entre dispositivos autenticado.