Erichen-X

**Nome do Software Vulnerável e Versões Afetadas** heshengtao super-agent-party versões anteriores a 0.4.2 **Descrição** Atacantes remotos podem desencadear a falsificação de solicitação do lado do servidor (SSRF) ao manipular o argumento `url` dentro da função `sanitize proxy url()` localizada no arquivo `server.py` do componente `extension proxy` Route. SSRF é uma falha que permite que um atacante induza a aplicação do lado do servidor a fazer solicitações para um local não pretendido. **Recomendações** Como medida paliativa temporária, restrinja o acesso à função `sanitize proxy url()` no componente `extension proxy` Route para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** heshengtao super-agent-party versões anteriores a 0.4.2 **Description** Um problema de divulgação de informações remotas existe no endpoint `execute tool manually`. A falha está localizada na função `get file content()` do arquivo `server.py`. Um invasor pode disparar isso manipulando as variáveis `tool name` e `tool params`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint `execute tool manually` ou evite o uso das variáveis `tool name` e `tool params` dentro da função `get file content()`.

**Nome do Software Vulnerável e Versões Afetadas** AstrBotDevs AstrBot versões anteriores a 4.25.6 **Descrição** A manipulação remota do argumento `req.func tool` dentro de uma função no arquivo `astrbot/core/astr main agent.py` leva a uma autorização incorreta. **Recomendações** Instale a correção identificada como d23011262e8e75e1ec41b0f1f0091493a022327e para versões anteriores a 4.25.6.

**Nome do Software Vulnerável e Versões Afetadas** mf-yang openclaw-cn versões anteriores a 0.2.2 **Description** Um problema de divulgação de informações remotas existe no componente Scheme Handler. O problema reside na função `assertBrowserNavigationAllowed()` dentro do arquivo `src/browser/navigation-guard.ts`. Um invasor pode explorar isso manipulando o argumento `url` para divulgar informações sensíveis. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o uso da função `assertBrowserNavigationAllowed()`.

**Nome do Software Vulnerável e Versões Afetadas** NousResearch hermes-agent versão 2026.6.5 **Description** Controles de acesso inadequados existem no componente SimpleX Gateway Authorization, especificamente no arquivo `hermes-agent/plugins/platforms/simplex/adapter.py`. Um invasor remoto pode explorar isso manipulando o argumento `contactId`. Este ataque é caracterizado por alta complexidade e é considerado difícil de executar. **Recommendations** Aplique o patch 490c486ff65b766d9de0fe0e6f26e1778aaa8fb3 para a versão 2026.6.5.

**Nome do Software Vulnerável e Versões Afetadas** openclaw-cn versões anteriores a 0.2.2 **Descrição** Um problema existe no componente Browser Control HTTP API, especificamente na função `clickViaPlaywright()` localizada no arquivo `src/browser/routes/agent.act.ts`. Um invasor remoto pode realizar uma manipulação que resulte em server-side request forgery (SSRF), uma condição em que o servidor é forçado a fazer requisições não autorizadas para um destino arbitrário. **Recomendações** Como medida paliativa temporária, restrinja o acesso à função `clickViaPlaywright()` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** ananocoai NanoClaw versões anteriores a 2.0.65 **Description** Um problema de autorização inadequada existe no componente MCP Server Approval, afetando especificamente a função `createChatSdkBridge.setup()` localizada no arquivo `src/channels/chat-sdk-bridge.ts`. Um invasor local pode realizar uma manipulação para ignorar os controles de autorização. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o acesso local à função `createChatSdkBridge.setup()`.

**Nome do Software Vulnerável e Versões Afetadas** ananocoai NanoClaw versões anteriores a 2.0.65 **Description** Uma falha no componente `add mcp server` permite a autorização inadequada por meio de manipulação remota. O problema reside na função `handleAddMcpServer()` localizada no arquivo `src/modules/self-mod/request.ts`. **Recommendations** Aplique o patch e5b928783d5c485637565eb07d2967922dfbf8d8 para remediar o problema. Como medida paliativa temporária, restrinja o acesso à função `handleAddMcpServer()` até que o patch seja aplicado.