CVE-2026-66005

Nome do Software Vulnerável e Versões Afetadas Jan versões anteriores a 0.8.4

Description Uma configuração incorreta de CORS (Cross-Origin Resource Sharing) no servidor de API local permite que atacantes adjacentes à rede ignorem as restrições de hosts confiáveis. Isso ocorre porque o servidor substitui os hosts confiáveis configurados pelo usuário por um caractere curinga que reflete origens arbitrárias com credenciais. Atacantes na rede local ou que utilizem DNS rebinding—uma técnica que engana o navegador para pensar que um site malicioso é confiável—podem acessar a API compatível com OpenAI não autenticada para realizar inferências, enumerar modelos, invocar ferramentas MCP e ler respostas de origens cruzadas.

Recommendations Atualize o Jan para uma versão que inclua a correção implementada no commit 3e1c1e7.