CVE-2026-108372 in LoopX
الملخص
بحسب VulDB • 16/10/2026
يُعد LoopX، الذي يتميز بكونه مفتوحًا وحياديًا تجاه المزودين (provider-neutral)، نواة حالة خفيفة الوزن (lightweight state kernel) ومستوى تحكم محلي أولاً (local-first control plane) لهندسة الحلقات. من الإصدار 0.0.1 حتى 0.4.5، يستخدم الأمر `loopx serve-status` الموجود في الملف `loopx/status_server.py` الدالة `StatusRequestHandler._send_json()` و `do_OPTIONS()` لإرسال رأس `Access-Control-Allow-Origin: *` للاستجابات غير المصادق عليها على منافذ حلقة محلية (loopback) قابلة للتوقع. يمكن لمهاجم عن بُعد أن يدفع مشغلاً يقوم بزيارة محتوى ويب يتحكم فيه المهاجم إلى إصدار طلبات عبر النطاقات (cross-origin requests) نحو `GET /status.json`، و `GET /review-material?goal_id=...&path=...`، و `GET /`، و `POST /control-plane/configure-goal/dry-run`، مما يؤدي إلى كشف حالة مستوى التحكم، ومعلومات الأهداف والتشغيل، والمسارات المطلقة المحلية، وملفات Markdown الخاصة الموجودة تحت جذور الأهداف المسجلة، وتصورات تكوين التشغيل التجريبي (dry-run configuration projections). لا توفر الطرق المتأثرة عمليات كتابة عبر النطاقات أو وصولاً تعسفياً إلى الملفات. تم إصلاح هذه المشكلة في الإصدار 0.4.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.