CVE-2026-49405

Nome do Software Vulnerável e Versões Afetadas OpenHuman versões anteriores a 0.56.0

Description O servidor local expõe o endpoint de eventos enviados pelo servidor "/events" sem autenticação bearer e permite o acesso do navegador de origem cruzada. O sistema depende exclusivamente de um client id fornecido pelo chamador para selecionar objetos WebChannelEvent do barramento de eventos de todo o processo. Como o identificador do sistema é fixo, o fluxo de mensagens proativas torna-se previsível, permitindo que um cliente local não autenticado ou uma página web maliciosa se inscreva no fluxo de outro cliente ao adivinhar ou conhecer o identificador. Isso pode levar à exposição de respostas do assistente, conteúdo de mensagens transmitidas, nomes de ferramentas, argumentos de ferramentas e saídas brutas de ferramentas.

Recommendations Atualizar para a versão 0.56.0.