PT-2026-137564
CVE-2026-49405
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
6.2
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenHuman الإصدارات السابقة لـ 0.56.0
Description
يقوم الخادم المحلي بتعريض نقطة نهاية أحداث الخادم المرسلة "/events" بدون مصادقة حامل (bearer authentication) ويسمح بالوصول عبر المتصفح من مصادر خارجية. يعتمد النظام فقط على
client id المقدم من المستدعي لاختيار كائنات WebChannelEvent من ناقل الأحداث على مستوى العملية. نظرًا لأن معرف النظام ثابت، فإن تدفق الرسائل الاستباقية يصبح قابلًا للتنبؤ، مما يسمح لعميل محلي غير مصرح له أو صفحة ويب خبيثة بالاشتراك في تدفق عميل آخر عن طريق تخمين أو معرفة المعرف. يمكن أن يؤدي ذلك إلى كشف استجابات المساعد، ومحتوى الرسائل المتدفقة، وأسماء الأدوات، ووسائط الأدوات، ومخرجات الأدوات الخام.Recommendations
التحديث إلى الإصدار 0.56.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾