Hinotoi-Agent

O servidor de API local confia no endereço TCP peer para ignorar a verificação do token bearer `API AUTH KEY` para clientes de loopback e não realiza a validação do cabeçalho Host ao vincular ao 0.0.0.0 com CORS credenciado por padrão. Isso permite que uma página de DNS-rebinding envie requisições autenticadas para a API local como um cliente de loopback confiável. Como requisições de loopback habilitam automaticamente ferramentas de shell, um invasor pode acessar o endpoint 'POST /swarm/runs' usando um preset integrado que permite a ferramenta `bash` para alcançar a execução remota de código como o usuário do processo da API. Além disso, esse bypass permite iniciar o executor ao vivo e sobrescrever as configurações de LLM e fonte de dados para redirecionar o tráfego do provedor e exfiltrar credenciais.

Existe uma falha de bypass de autorização no endpoint de exportação de sessão, permitindo que usuários autenticados acessem sessões de outros perfis. A função ` handle session export()` em 'api/routes.py' não verifica a propriedade do perfil ativo antes de serializar os dados da sessão. Isso permite que atacantes exfiltrem transcrições de sessões de terceiros ao conhecer ou adivinhar identificadores de sessão.

O software cria os arquivos `response store.db` e `webhook subscriptions.json` com permissões de leitura global (modo 0o644). Essa configuração permite que usuários locais com acesso ao sistema de arquivos leiam esses arquivos diretamente, expondo dados sensíveis, como histórico de conversas, payloads de ferramentas, prompts e segredos HMAC (Hash-based Message Authentication Code) por rota, que são utilizados para verificar a integridade e a autenticidade das mensagens.

Um problema de DNS rebinding em endpoints WebSocket permite que atacantes remotos ignorem a validação de Host e Origin. Isso ocorre porque o middleware HTTP do FastAPI não é executado para solicitações de upgrade de WebSocket nos endpoints '/api/pty', '/api/ws', '/api/pub' e '/api/events'. DNS rebinding é uma técnica na qual um site malicioso engana um navegador para enviar solicitações a um servidor local ou interno manipulando registros de DNS. Essa falha permite que atacantes injetem comandos maliciosos ou leiam a saída do terminal.

O tratamento inadequado de redirecionamento para sessões dos provedores Amp e Ollama permite que atacantes de rede interceptem cookies de sessão de navegador importados. Isso ocorre quando um alvo de redirecionamento controlado pelo provedor emite um redirecionamento para um endpoint HTTP em texto simples dentro do mesmo domínio do provedor, permitindo que atacantes posicionados no caminho da rede recebam os cookies em requisições HTTP em texto simples.

Um problema de negação de serviço existe no manipulador de download de mídia do canal Matrix. Membros autenticados de salas podem esgotar a memória do processo e a largura de banda enviando eventos de mídia que carecem de metadados de tamanho ou contêm metadados inválidos. Ao enviar múltiplos eventos de mídia Matrix simultâneos com tamanhos declarados omitidos ou inválidos, um invasor pode disparar downloads de mídia grandes e simultâneos. Esses downloads materializam completamente os corpos de resposta antes de serem rejeitados após o download, consumindo recursos do sistema até que ocorra a degradação do serviço.

O manuseio inseguro de arquivos temporários no fluxo de trabalho de notarização de lançamento permite que atacantes locais acessem credenciais sensíveis ou adulterem artefatos de compilação. Isso é possível ao explorar caminhos de arquivos previsíveis, permitindo que atacantes no mesmo host leiam a chave de API do App Store Connect gravada em um caminho fixo. Além disso, atacantes podem pré-criar arquivos ou links simbólicos em locais previsíveis para redirecionar gravações para destinos controlados pelo atacante ou modificar arquivos de notarização antes do envio.

Existe uma falha de bypass de autenticação no caminho de verificação de token de usuário do coordenador. A função `verifyUserToken()` não rejeita payloads que contenham uma reivindicação de administrador, o que permite que invasores escalem privilégios. Um invasor com acesso a um token não administrativo compartilhado pode criar um payload de token de usuário com a variável `admin` definida como `true`, assiná-lo usando HMAC-SHA256 (uma função de hash criptográfica usada para verificar a integridade dos dados) e acessar rotas do coordenador exclusivas para administradores. Isso concede acesso total de administrador ao coordenador, incluindo visibilidade de concessões, gerenciamento de estado do pool e operações de liberação forçada.

O software cria o diretório e o arquivo de configuração do daemon usando permissões padrão de sistema de arquivos que podem ser legíveis por qualquer usuário (world-readable) em sistemas semelhantes ao Unix. Isso permite que atacantes locais leiam o arquivo `~/.summarize/daemon.json`, que contém tokens de portador (bearer tokens) e credenciais de API de provedores persistidas. Ao explorar essas permissões permissivas, um atacante pode obter acesso não autorizado ao daemon ou recuperar chaves de API sensíveis.

Existe uma lacuna inconsistente de proteção contra Server-Side Request Forgery (SSRF) no processamento de URLs de ferramentas Model Context Protocol (MCP). Embora os endpoints de visualização e execução direta rejeitem URLs de redes internas ou privadas, os endpoints utilizados para criar ou atualizar ferramentas MCP permitem o armazenamento de URLs de servidores MCP internos. Essas URLs armazenadas podem, posteriormente, ser utilizadas pelo processo de execução de fluxo de trabalho sem nova validação do destino. Um usuário autenticado com permissões para gerenciar conjuntos de ferramentas MCP pode armazenar um endpoint interno, como `http://localhost:3000/mcp`, fazendo com que o executor de fluxo de trabalho do backend se conecte a esse destino interno.

Existe um problema de limite de sistema de arquivos host/container no processamento de anexos de saída e na limpeza da caixa de saída. Um container comprometido ou com injeção de prompt pode ler arquivos fora do diretório de saída pretendido ao fornecer valores `messages out.id` e `content.files` manipulados ou ao criar arquivos de caixa de saída com links simbólicos. Isso pode levar à leitura de arquivos arbitrários no lado do host e, em certos casos, à exclusão recursiva de caminhos fora do alvo de limpeza pretendido.

Um problema de path traversal na exclusão de projetos permite que atacantes locais excluam diretórios arbitrários recursivamente. Ao fornecer caminhos absolutos que escapam do diretório raiz `dir.projects` configurado, os atacantes podem alvejar arquivos marcadores de projeto fora do limite de armazenamento de projetos. Esta ação resulta na exclusão recursiva de diretórios escolhidos usando as permissões do processo radare2, levando à perda de integridade e disponibilidade.

Um problema de exclusão arbitrária de arquivos existe no endpoint '/api/session/delete'. Atacantes autenticados podem excluir arquivos fora do diretório de sessão ao fornecer um caminho absoluto ou um payload de path traversal no parâmetro `session id`. Isso ocorre porque identificadores de sessão não validados permitem a construção de caminhos que ignoram o limite do SESSION DIR, possibilitando a exclusão de arquivos JSON graváveis no sistema host.

Comandos de ciclo de vida de plugins são expostos a remetentes remotos por padrão. Isso permite que invasores que obtenham acesso através da camada de canal gerenciem remotamente o estado de confiança e ativação de plugins, possibilitando a instalação e ativação não autorizada de plugins no sistema. Os endpoints de API afetados incluem '/plugin install', '/plugin enable', '/plugin disable' e '/reload-plugins'.

Existe um bypass de autenticação na superfície de rota HTTP do VikingBot OpenAPI. O problema ocorre quando o valor de configuração `api key` não está definido ou está vazio, fazendo com que a verificação de autenticação falhe aberta. Atacantes remotos com acesso de rede ao serviço exposto podem invocar funcionalidades privilegiadas de controle do bot sem fornecer um cabeçalho 'X-API-Key' válido. Isso permite o envio de prompts controlados pelo atacante, a criação ou uso de sessões de bot e o acesso não autorizado a ferramentas downstream, integrações, segredos ou dados acessíveis ao bot.