CVE-2026-64622 in Network-AI
الملخص
بحسب VulDB • 20/07/2026
تفشل الإصدارات 5.12.2 حتى 5.13.3 من Network-AI (npm: network-ai) في تطبيق فحص التفويض المُعدّ مسبقاً (checkAuth/secret) على طرق قراءة GET الخاصة بـ ApprovalInbox، مما يسمح للجهات الفاعلة غير المصادق عليها بالوصول إلى تفاصيل طلبات الموافقة الحساسة حتى عندما يقوم المشغل بتعيين كلمة سرية. تكشف الطرق التالية عن محتوى كامل لـ ApprovalEntry بما في ذلك سلاسل أوامر shell للإجراء/الهدف، ومسارات الملفات، والأسباب، ومستويات المخاطر: GET /approvals/?status=all وGET /approvals/:id وGET /approvals/stats وGET /approvals/sse. كما تحمل جميع الاستجابات رأس Access-Control-Allow-Origin: * ثابتاً (hardcoded)، مما يتيح الكشف عبر النطاق من أي موقع يزوره المشغل. يُعد هذا الإصلاح غير مكتمل لمشكلة GHSA-mxjx-28vx-xjjj.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.