CVE-2026-33654

nanobot kişisel bir yapay zeka asistanıdır. Versiyon 0.1.6 öncesinde, e-posta kanalı işleme modülünde (`nanobot/channels/email.py`) dolaylı bir istem injection (prompt injection) zafiyeti bulunmaktadır; bu durum, uzaktaki kimliği doğrulanmamış bir saldırganın, bot sahibinin herhangi bir etkileşimi olmadan rastgele LLM talimatlarını (ve ardından sistem araçlarını) yürütmesine olanak tanır. Botun izlediği e-posta adresine kötü amaçlı istemler içeren bir e-posta göndererek, botun e-posta içeriğini otomatik olarak sorgulaması, alması ve yüksek düzeyde güvenilir girdi olarak işlemesi sağlanır; bu da kanal izolasyonunu tamamen devre dışı bırakarak gizli, sıfır tıklamalı (zero-click) bir saldırıyla sonuçlanır. Versiyon 0.1.6 bu sorunu gidermektedir.