CVE-2026-54144
Təsvir
OpenHuman masaüstü tətbiqi və Rust kitabxanası kimi mövcud olan açıq mənbəli agent qurğusudur. macOS-da 0.56.0 versiyasından əvvəl, Google Meet kimi dəstəklənən uzaq hesab webview-na yerləşdirilmiş runtime, səhifə JavaScript-in canlı istifadəçi jesti olmadan getDisplayMedia funksiyasını çağırmasına şərait yaradır. Shim sorğunu rədd etmək əvəzinə, yerli Chromium tutma davranışına keçir və daxili CEF mühiti standart masaüstü media seçicisi olmadığı üçün əsas ekranı avtomatik seçə bilir. Əgər OpenHuman artıq macOS Ekran Yazısı (Screen Recording) icazəsinə malikdirsə və hücumçu icazə verilmiş daxili mənşədə (origin) JavaScript icrasını təmin edərsə, yeni bir istifadəçi jesti olmadan real masaüstü tutma axınını əldə edə bilər. Bu axın çatları, sənədləri, mənbə kodunu, e-poçtu, iclas məzmununu, etibarnamələri, birdəfəlik kodları və digər görünən masaüstü məlumatlarını ifşa edə bilər. Mənşə yoxlamasından keçməyən ayrıca birbaşa screen_share_begin_session IPC yolu getDisplayMedia vasitəsilə istismarı önləmir. Bu problem 0.56.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tinyhumansai openhuman | < 0.56.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.