PT-2026-64318
CVE-2026-66005
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Jan السابقة للإصدار 0.8.4
الوصف
يسمح خطأ في تكوين CORS (مشاركة الموارد عبر الأصول) في خادم واجهة برمجة التطبيقات (API) المحلي للمهاجمين المجاورين على الشبكة بتجاوز قيود المضيفين الموثوق بهم. ويحدث ذلك لأن الخادم يستبدل المضيفين الموثوق بهم الذين قام المستخدم بتكوينهم برمز بديل يعكس أصولًا عشوائية مع بيانات اعتماد. يمكن للمهاجمين على الشبكة المحلية أو أولئك الذين يستخدمون إعادة ربط DNS — وهي تقنية تخدع المتصفح لتعتقد أن موقعًا ضارًّا هو موقع موثوق به — الوصول إلى واجهة برمجة التطبيقات (API) المتوافقة مع OpenAI غير المصادق عليها لإجراء الاستدلال، وتعداد النماذج، واستدعاء أدوات MCP، وقراءة الاستجابات عبر الأصول.
التوصيات
تحديث Jan إلى إصدار يتضمن الإصلاح الذي تم تنفيذه في الالتزام 3e1c1e7.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾