CVE-2026-102344

Nome do Software Vulnerável e Versões Afetadas Lavish versões anteriores a 0.1.43

Descrição O servidor HTTP de loopback lavish-axi não autentica solicitações nem valida os valores de Host e Origin nas rotas de sessão, artefato, prompt e polling. Isso permite que um site visitado por um usuário utilize DNS rebinding—uma técnica usada para ignorar a Política de Mesma Origem—para enviar solicitações ao serviço local. Um invasor pode usar o endpoint "POST /api/sessions" fornecendo um caminho de arquivo específico para obter uma chave de sessão determinística. Subsequentemente, o endpoint "GET /artifact/:key/index.html" pode ser usado para expor qualquer arquivo legível pelo processo do servidor. Além disso, se o caminho do artefato for conhecido ou adivinhado, um invasor pode enfileirar texto através do endpoint "POST /api/:key/prompts" para uma sessão de agente ativa. Isso requer que o usuário visite um site controlado pelo invasor.

Recomendações Atualize o Lavish para a versão 0.1.43.