CVE-2026-49405
Təsvir
OpenHuman masaüstü tətbiqi və Rust kitabxanası kimi mövcud olan açıq mənbəli agent qurğusudur. 0.56.0 versiyasından əvvəl lokal server /events ünvanındakı server-sent events son nöqtəsini bearer autentifikasiyası olmadan təqdim edir, brauzerin çarpaz mənşəli (cross-origin) girişinə icazə verir və proses səviyyəli hadisə şinasından (event bus) WebChannelEvent obyektlərini seçmək üçün yalnız çağırıcı tərəfindən təmin edilən client_id-dən istifadə edir. Autentifikasiya olunmamış lokal klient və ya qurban tərəfindən açılmış hücumçuya məxsus veb səhifə, məlum və ya təxmin edilən identifikatoru təqdim etməklə digər klientin axınına abunə ola bilər; sabit sistem identifikatoru proactive-message axınını proqnozlaşdırıla bilən edir. Açıq qalan hadisələrə köməkçinin tam cavabları, axın şəklində ötürülən mesaj məzmunu, alət adları, alət arqumentləri və lokal istifadəçi interfeysi üçün nəzərdə tutulmuş xam alət çıxışları daxil ola bilər. Bu problem 0.56.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tinyhumansai openhuman | < 0.56.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.