CVE-2026-108372 in LoopX
Zusammenfassung
von VulDB • 16.10.2026
Open und anbieterneutral ist LoopX ein leichtgewichtiger State-Kernel sowie eine lokal-first Control Plane für die Loop-Entwicklung. Von der Version 0.0.1 bis zur Version 0.4.5 verwendet `loopx serve-status` in `loopx/status_server.py` `StatusRequestHandler._send_json()` und `do_OPTIONS()`, um `Access-Control-Allow-Origin: *` für nicht authentifizierte Antworten auf vorhersagbaren Loopback-Ports zu senden. Ein entfernter Angreifer kann dazu führen, dass ein Bediener, der von einem Angreifer kontrollierte Webinhalte besucht, Cross-Origin-Anfragen an `GET /status.json`, `GET /review-material?goal_id=...&path=...`, `GET /` und `POST /control-plane/configure-goal/dry-run` ausführt. Dadurch werden Informationen zum Zustand der Control Plane sowie zu Zielen (Goals) und Ausführungen (Runs), lokale absolute Pfade, private Markdown-Dateien unter registrierten Goal-Wurzeln und Dry-Run-Konfigurationsprojektionen offengelegt. Die betroffenen Routen bieten keine Cross-Origin-Schreibzugriffe oder Zugriff auf beliebige Dateien. Dieses Problem wurde in Version 0.4.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.