CVE-2026-76066
Açıklama
IntentKit 2.6.3 sürümüne kadar olan versiyonlarında (5b91da5 commit'inde düzeltildi), yürütücünün araç çağrılarını ToolBindingMiddleware tarafından zorunlu kılınan istek başına daraltılmış araç reklamı yerine tam araç kayıt defterine göre doğrulaması nedeniyle bir kimlik doğrulama atlatma zafiyeti bulunmaktadır; bu durum cüzdan transferi, paylaşım yapma, bellek yazma ve agent çağırma gibi yalnızca sahibe özel durum değiştirici araçların herhangi bir insan müdahalesi veya onay mekanizması olmaksızın çalıştırılmasına izin verir. WEB, API, TWITTER veya TELEGRAM bağlamlarındaki kimliği doğrulanmamış veya genel bir çağrıcı, dolaylı istem injection'ı yoluyla veya yeniden kullanılan bir iş parçacığı üzerinde kontrol noktası ve geçmiş verilerini tekrar oynatarak, reklamı kaldırılmış kesin araç adını ve bağımsız değişkenlerini sağlayıp sahip kısıtlamalı yeteneklerin yetkisiz şekilde yürütülmesini sağlayabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| crestalnetwork intentkit | v ≤ 2.6.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.