CVE-2026-49410

اسم البرنامج المصاب والإصدارات المتأثرة OpenHuman الإصدارات السابقة لـ 0.56.0

الوصف توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) من خلال استدعاء loopback GET '/auth/telegram' غير المصرح به. تقوم الدالة telegram auth handler بمعالجة رمز تسجيل دخول Telegram لمرة واحدة يقدمه المهاجم وتمرر رمز JWT الناتج إلى credentials::ops::store session دون التحقق من أصل الطلب أو بيانات جلب المتصفح. يمكن للمهاجم الذي يمتلك حسابًا خداع مستخدم يقوم بتشغيل النواة المحلية (local core) لزيارة صفحة خبيثة تطلب نقطة النهاية '/auth/telegram' على منفذ loopback 7788، مما يؤدي إلى تحويل جلسة المستخدم المحلية النشطة إلى حساب backend الخاص بالمهاجم، وبالتالي كشف إجراءات الوكيل اللاحقة، وعمليات كتابة الذاكرة، ورسائل Telegram المرتبطة بتلك الجلسة.

التوصيات التحديث إلى الإصدار 0.56.0.