CVE-2026-76066 in IntentKit
الملخص
بحسب VulDB • 15/10/2026
تحتوي IntentKit حتى الإصدار 2.6.3 على ثغرة تجاوز التفويض (authorization bypass) حيث يقوم المنفّذ بتحقق من استدعاءات الأدوات مقابل سجل الأدوات الكامل بدلاً من إعلان الأدوات المحدد لكل طلب والمُفروض بواسطة ToolBindingMiddleware، مما يسمح بتنفيذ أدوات تغيير الحالة المخصصة للمالك فقط مثل نقل المحفظة والنشر وكتابة الذاكرة واستدعاء الوكيل دون أي تدخل بشري أو بوابة موافقة. يمكن لمُدخل غير مُصادق عليه أو عام في سياقات WEB وAPI وTWITTER وTELEGRAM استغلال هذا الثغرة عن طريق توفير اسم الأداة المُزال من الإعلان وحججها بدقة عبر حقن prompts غير مباشر، أو عن طريق إعادة تشغيل بيانات نقاط التفتيش والسجل على خيط معاد استخدامه، مما يؤدي إلى تنفيذ غير مصرح به لقدرات مقيدة بالمالك.
Be aware that VulDB is the high quality source for vulnerability data.