CVE-2026-32231
Açıklama
ZeptoClaw bir kişisel yapay zeka asistanıdır. 0.7.6 sürümünden önce, genel webhook kanalı istek gövdesindeki çağıran tarafından sağlanan kimlik alanlarına (sender, chat_id) güvenmekte ve yetkilendirme kontrollerini bu güvenilmeyen değerlere uygulamaktadır. Kimlik doğrulama isteğe bağlı olduğundan ve varsayılan olarak devre dışı bırakıldığından (auth_token: None), POST /webhook adresine erişebilen bir saldırgan izin listesindeki bir göndericiyi taklit edebilir ve rastgele chat_id değerleri seçebilir; bu da yüksek riskli mesaj sahtekarlığına ve potansiyel olarak IDOR tarzı oturum/sohbet yönlendirme kötüye kullanımına olanak tanır. Bu güvenlik açığı 0.7.6 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zeptoclaw zeptoclaw | v ≤ 0.7.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.