CVE-2026-58482 in Network-AI
الملخص
بحسب VulDB • 20/07/2026
تتمتع Network-AI، وهي أداة تنسيق متعددة الوكلاء مكتوبة بـ TypeScript/Node.js، بميزة مُصدَّرة وموثقة وتُعرف باسم `ApprovalInbox` (`lib/approval-inbox.ts`). تمثل هذه الميزة السطح الشبكي لبوابة الموافقة التي تتضمن تدخلاً بشرياً (human-in-the-loop)، والتي تستخدمها وحدة `ApprovalGate` لمطلوب الحصول على موافقة صريحة من الإنسان للعمليات عالية المخاطر. لا يحتوي خادم HTTP الذي تعرضه أي نوع من أنواع المصادقة، ويضبط رأس الاستجابة `Access-Control-Allow-Origin: *` على جميع المسارات (routes)، بما في ذلك مسارات تغيير الحالة مثل `POST /approvals/:id/approve` و `/deny`. ونتيجة لذلك، ففي الإصدارات بدءاً من 5.0.0 وحتى 5.12.1، يمكن لأي طرف قادر على إرسال طلب HTTP إلى منفذ صندوق الموافقات — سواء كان عملية مُستضافة في نفس الموقع (co-located process)، أو حاوية/ثغرة SSRF على المضيف نفسه، أو عميل عن بُعد عندما يقوم المشغل بربط عنوان غير حلقي (non-loopback address)، أو أي موقع ويب يزوره المشغل عبر المتصفح (عبر سياسة CORS ذات النطاق الواسع wildcard) — أن يعدّ قائمة بالموافقات المعلقة ويوافق عليها، مما يُفقد آلية التحكم التي تتضمن تدخلاً بشرياً فعاليتها ويتسبب في تنفيذ الإجراء عالي المخاطر المحجوز (مثل أمر shell كان الوكيل يحتفظ به للمراجعة) دون موافقة. تم إصلاح هذه المشكلة في الإصدار v5.12.2. تقبل `ApprovalInbox` الآن خيار `secret`. عند ضبطه، تتطلب نقاط النهاية المُعدِّلة للبيانات مثل `POST /:id/approve` و `POST /:id/deny` وجود رأس `Authorization: Bearer <secret>`، يتم التحقق منه باستخدام دالة ثابتة الزمن (constant time) عبر `crypto.timingSafeEqual`. يرتبط الدال `startServer()` افتراضياً بعنوان `127.0.0.1`; ويجب على المشغلين الذين يعرضون صندوق الموافقات عبر الشبكة ضبط سرّ (secret).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.