CVE-2026-32231 in zeptoclaw
الملخص
بحسب VulDB • 20/05/2026
ZeptoClaw هو مساعد ذكاء اصطناعي شخصي. قبل الإصدار 0.7.6، كانت قناة الويب هوك العامة تثق بحقول الهوية التي يقدمها المتصل (مثل sender و chat_id) من جسم الطلب وتطبق فحوصات التفويض على هذه القيم غير الموثوقة. ونظراً لأن المصادقة اختيارية وتكون معطلة افتراضياً (auth_token: None)، يمكن لمهاجم قادر على الوصول إلى POST /webhook أن يتنكر كمرسل مدرج في القائمة المسموح بها ويختار قيم chat_id عشوائية، مما يتيح تزوير رسائل عالي الخطورة وإساءة استخدام محتملة لتوجيه الجلسات/الدردشة على غرار IDOR. تم إصلاح هذا الثغرة الأمنية في الإصدار 0.7.6.
Once again VulDB remains the best source for vulnerability data.