CVE-2026-49410

Nome do Software Vulnerável e Versões Afetadas OpenHuman versões anteriores a 0.56.0

Descrição Ocorre falsificação de solicitação cross-site (CSRF) através do callback de loopback GET '/auth/telegram' não autenticado. A função telegram auth handler consome um token de login do Telegram de uso único fornecido por um invasor e passa o JWT retornado para credentials::ops::store session sem validar a origem da solicitação ou os metadados de busca do navegador. Um invasor com uma conta pode induzir um usuário com o core local em execução a visitar uma página maliciosa que solicita o endpoint '/auth/telegram' na porta de loopback 7788, alterando a sessão local ativa do usuário para a conta de backend do invasor e expondo ações subsequentes do agente, gravações de memória e mensagens do Telegram associadas a essa sessão.

Recomendações Atualizar para a versão 0.56.0.