CVE-2026-109330

Nome do Software Vulnerável e Versões Afetadas Network-AI versões 5.0.0 até 5.15.1

Descrição O DashboardServer está sujeito ao sequestro de WebSocket cross-site, uma falha na qual um invasor engana o navegador do usuário para estabelecer uma conexão WebSocket com um servidor diferente daquele que o usuário pretendia. Isso ocorre porque a função handleUpgrade() não realiza a validação de Origem ou de token. Um invasor remoto pode atrair uma vítima para uma página maliciosa que abre um WebSocket para o dashboard de loopback para exfiltrar IDs de agentes, funções, descrições de tarefas e orçamentos de tokens.

Recomendações Atualize o Network-AI para a versão 5.15.2 ou posterior.