PT-2026-53920
CVE-2026-58169
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-07-01
الوصف من
CVSS 4.0
7.7
عاليةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vibe-Trading الأقدم من 0.1.10
الوصف
يثق خادم واجهة برمجة التطبيقات (API) المحلي في عنوان النظير عبر بروتوكول TCP لتجاوز فحص رمز الحامل
API AUTH KEY لعملاء loopback، كما يفتقر إلى التحقق من صحة رأس المضيف (Host header) أثناء الارتباط بـ 0.0.0.0 باستخدام CORS مع بيانات اعتماد بشكل افتراضي. وهذا يسمح لصفحة ويب تعيد ربط DNS بإصدار طلبات مصادق عليها إلى واجهة برمجة التطبيقات المحلية باعتبارها عميلًا موثوقًا به من نوع loopback. ونظرًا لأن طلبات loopback تقوم تلقائيًّا بتمكين أدوات shell، يمكن للمهاجم الوصول إلى نقطة النهاية ’POST /swarm/runs‘ باستخدام إعداد مسبق مدمج يسمح لأداة bash بتنفيذ التعليمات البرمجية عن بُعد بصفته مستخدم عملية واجهة برمجة التطبيقات. بالإضافة إلى ذلك، يتيح هذا الالتفاف تشغيل «Live Runner» والكتابة فوق إعدادات LLM ومصدر البيانات لإعادة توجيه حركة مرور المزود واستخراج بيانات الاعتماد.التوصيات
تحديث Vibe-Trading إلى الإصدار 0.1.10 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾