CVE-2026-71416
Təsvir
Headroom məlumatları böyük dil modelinə çatmamışdan əvvəl sıxır. Versiya 0.35.0-dan əvvəl Headroom WebSocket serveri daxil olan müştəri WebSocket sorğularını yuxarı axınlı (upstream) serverə yönləndirməzdən əvvəl `Origin` başlığını yoxlamır və bu, zərərli WebSocket müştərilərinə autentifikasiyasız ixtiyari LLM sorğuları yerinə yetirməyə imkan verir. Əgər brauzerin Headroom proksisinə çıxışı varsa və OpenAI API açarı `OPENAI_API_KEY` mühit dəyişənində saxlanılıbsa, bu boşluq lightpanda kimi ənənəvi və ya başlıqsız (headless) brauzerdə işlədilən zərərli WebSocket müştərisi tərəfindən istismar edilə bilər. Versiya 0.35.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
- headroom-ai0.35.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| headroom-aiPyPI | v < 0.35.0 | 0.35.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.