PT-2026-25042
CVE-2026-32231
·
تاريخ النشر
2026-03-12
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ZeptoClaw الأقدم من 0.7.6
الوصف
ZeptoClaw هو مساعد ذكاء اصطناعي شخصي. تعتمد قناة webhook العامة على حقول الهوية (
sender، chat id) المقدمة في نص الطلب دون إجراء التحقق المناسب، وتطبق عمليات التحقق من التفويض على هذه القيم غير الموثوق بها. ونظرًا لأن المصادقة اختيارية ويتم تعطيلها افتراضيًا (auth token: None)، يمكن للمهاجم الذي يستطيع الوصول إلى نقطة النهاية POST /webhook انتحال هوية مرسل مدرج في قائمة المسموح لهم واختيار قيم chat id تعسفية. وهذا يتيح انتحال الرسائل عالي الخطورة وإساءة استخدام توجيه الجلسات/الدردشات المحتملة على غرار IDOR. تنبع هذه الثغرة الأمنية من معاملة النظام لهوية JSON المقدمة من المستخدم على أنها هوية موثوقة، وعدم التحقق من صحة المرسل بما يتجاوز قيمة الحمولة. كما أن chat id يخضع لسيطرة المهاجم، مما يسمح بالتلاعب بالتوجيه وربط الجلسات.التوصيات
يجب تحديث الإصدارات الأقدم من 0.7.6 إلى الإصدار 0.7.6 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾