PT-2026-113941 · Git+2 · Pipecat+1
CVE-2026-102682
·
تاريخ النشر
2026-10-14
·
تاريخ التحديث
2026-10-15
CVSS v3.1
5.6
متوسطة
| المتجه | AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L |
اسم البرنامج المصاب والإصدارات المتأثرة
pipecat-ai الإصدارات من 0.0.98 إلى 1.5.9
الوصف
يقوم مشغل التطوير المدمج في إطار عمل pipecat-ai بتعريض نقاط نهاية غير مصادق عليها، وتحديداً '/start' و '/daily' و '/daily-dialin-webhook'، والتي تسمح بإنشاء جلسات بوت وغرف Daily. بينما يرتبط المشغل بـ localhost افتراضياً للتطوير المحلي، يمكن استغلاله إذا قام المشغل بتعريضه لحركة مرور غير موثوقة عبر
--host 0.0.0.0 أو منفذ منشور أو نفق بدون ضوابط وصول. يمكن للمتصل غير المصادق عليه استهلاك الموارد المحلية وحصص الطرف الثالث، وبناءً على التكوين، الحصول على رابط الغرفة ورمز الانضمام.التوصيات
التحديث إلى الإصدار 1.6.0.
تجنب تعريض مشغل التطوير لحركة مرور غير موثوقة من خلال عدم استخدام
--host 0.0.0.0 أو المنافذ المنشورة أو الأنفاق التي تفتقر إلى ضوابط الوصول.
استخدام موزع مصادق عليه أو بيئة تشغيل مدارة لعمليات النشر في الإنتاج.استغلال
إصلاح
Missing Authorization
Allocation of Resources Without Limits
Insufficient Verification of Data Authenticity
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Pipecat
Pipecat-Ai