CVE-2026-49405 in OpenHuman
الملخص
بحسب VulDB • 05/11/2026
OpenHuman هو وكيل مفتوح المصدر (agent harness) متوفر كتطبيق سطح مكتب ومكتبة Rust. قبل الإصدار 0.56.0، كان الخادم المحلي يعرض نقطة نهاية أحداث مُرسلة من الخادم (server-sent events) عند المسار /events دون استخدام مصادقة البيرر (bearer authentication)، ويسمح بالوصول عبر النطاقات المختلفة في المتصفح (cross-origin browser access)، ويعتمد فقط على معرّف العميل الذي يقدمه المستخدم لتحديد كائنات WebChannelEvent من حافلة الأحداث الشاملة للعملية. يمكن لعميل محلي غير مُصرّح له، أو صفحة ويب مستضافة بواسطة مهاجم وُفّتحت عن طريق الضحية، الاشتراك في تدفق عميل آخر عن طريق تقديم معرّف معروف أو مُتوقع؛ مما يجعل تدفق الرسائل الاستباقية قابلاً للتنبؤ بسبب ثبات المعرّف النظامي. قد تتضمن الأحداث المُعرّضة ردود المساعد الكاملة، ومحتوى الرسائل المبعوثة على شكل دفق (streamed)، وأسماء الأدوات، وحججها، والمخرجات الخام للأدوات المخصصة لواجهة المستخدم المحلية. تم إصلاح هذه المشكلة في الإصدار 0.56.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.