CVE-2026-108372

Açıq və provayderdən asılı olmayan LoopX, dövr mühəndisliyi üçün yüngül vəziyyət nüvəsi və lokal-prioritet idarəetmə müstəvisidir. Versiya 0.0.1-dən 0.4.5-ə qədər, `loopx/status_server.py` faylındakı `loopx serve-status` əmri, proqnozlaşdırıla bilən loopback portlarında autentifikasiya olunmamış cavablar üçün `Access-Control-Allow-Origin: *` göndərmək məqsədilə `StatusRequestHandler._send_json()` və `do_OPTIONS()` funksiyalarından istifadə edir. Uzaqdakı hücumçu, özünün nəzarəti altında olan veb kontenti ziyarət edən operatorun `GET /status.json`, `GET /review-material?goal_id=...&path=...`, `GET /` və `POST /control-plane/configure-goal/dry-run` ünvanlarına çarpaz mənşəli (cross-origin) sorğular göndərməsinə səbəb ola bilər ki, bu da idarəetmə müstəvisinin vəziyyətini, məqsəd və işlətmə məlumatlarını, lokal mütləq yolları, qeydiyyatdan keçmiş məqsəd kökləri altındakı şəxsi Markdown fayllarını və dry-run konfiqurasiya proyeksiyalarını ifşa edir. Təsirə məruz qalan marşrutlar çarpaz mənşəli yazma və ya ixtiyari fayllara girişi təmin etmir. Bu problem versiya 0.4.5-də düzəldilmişdir.