CVE-2026-49405
Açıklama
OpenHuman, masaüstü uygulaması ve Rust kütüphanesi olarak sunulan açık kaynaklı bir ajan çerçevesidir. 0.56.0 sürümünden önce, yerel sunucu /events adresindeki server-sent events uç noktasını bearer kimlik doğrulaması olmadan dışarı açmakta, tarayıcı üzerinden çapraz kökenli erişime izin vermekte ve işlem genelindeki olay veri yolundan WebChannelEvent nesnelerini seçmek için yalnızca çağırıcı tarafından sağlanan client_id değerini kullanmaktadır. Kimliği doğrulanmamış yerel bir istemci veya mağdur tarafından açılan saldırgan kontrollü bir web sayfası, bilinen veya tahmin edilen bir tanımlayıcı sağlayarak başka bir istemcinin akışına abone olabilir; sabit sistem tanımlayıcısı, proactive-message akışını öngörülebilir kılmaktadır. Açığa çıkan olaylar; eksiksiz asistan yanıtlarını, akış halindeki mesaj içeriğini, araç isimlerini, araç argümanlarını ve yerel kullanıcı arayüzü için tasarlanmış ham araç çıktılarını içerebilir. Bu sorun 0.56.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tinyhumansai openhuman | < 0.56.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.