CVE-2026-102682

Pipecat real vaxt rejimində səsli və multimodal söhbət agentlərinin qurulması üçün açıq mənbəli Python freymvorkudur. 0.0.98 versiyasından 1.6.0 versiyasına qədər pipecat-ai paketinin daxili tərtibat işlədicisi (development runner), bot sessiyaları və Daily otaqları yarada bilən /start, /daily və /daily-dialin-webhook kimi autentifikasiya olunmamış son nöqtələri (endpoints) aşkar edir. İşlədici standart olaraq localhost-a bağlanır və yalnız lokal tərtibat üçün nəzərdə tutulub, buna görə də istismar edilməsi üçün operatorun onu --host 0.0.0.0, açıq port və ya giriş idarəetməsi olmayan tunel vasitəsilə etibarsız trafikə açması tələb olunur. Autentifikasiya olunmamış çağırıcı lokal resursları və üçüncü tərəf kvotalarını istifadə edə bilər və konfiqurasiyadan asılı olaraq otaq URL-ni və qoşulma tokenini ala bilər. Versiya 1.6.0-da diqqətçəkən development-runner banneri və autentifikasiyasız sərhədi aydınlaşdıran, istehsalat mühitinə yerləşdirmələrini autentifikasiya olunmuş dispatcher-ə və ya idarə olunan runtime-a yönləndirən sənədlər əlavə edilmişdir, lakin son nöqtənin davranışı dizayn üzrə olduğu kimi qalmışdır. Bu problem 1.6.0 versiyasında düzəldilmişdir.