CVE-2026-32231
Təsvir
ZeptoClaw şəxsi süni intellekt köməkçisidir. 0.7.6 versiyasından əvvəl ümumi webhook kanalı sorğu gövdəsində çağırıcı tərəfindən təqdim edilən kimlik sahələrinə (sender, chat_id) etibar edir və avtorizasiya yoxlamalarını həmin etibarsız dəyərlərə tətbiq edir. Autentifikasiya opsional olduğu və standart olaraq söndürülmüş olduğu üçün (auth_token: None), POST /webhook ünvanına müraciət edə bilən hücumçu ağ siyahıya daxil edilmiş göndərən şəxsini saxtalaşa və ixtiyari chat_id dəyərləri seçə bilər ki, bu da yüksək riskli mesaj saxtakarlığına və potensial IDOR tipli sessiya/çat marşrutlaşdırma sui-istifadəsinə imkan verir. Bu zəiflik 0.7.6 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zeptoclaw zeptoclaw | v ≤ 0.7.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.