CVE-2026-32231 in zeptoclaw
Zusammenfassung
von VulDB • 20.05.2026
ZeptoClaw ist ein persönlicher KI-Assistent. Vor Version 0.7.6 vertraut der generische Webhook-Kanal den vom Aufrufer bereitgestellten Identitätsfeldern (sender, chat_id) im Anforderungstext und wendet Autorisierungsprüfungen auf diese nicht vertrauenswürdigen Werte an. Da die Authentifizierung optional ist und standardmäßig deaktiviert ist (auth_token: None), kann ein Angreifer, der POST /webhook erreichen kann, einen auf der Whitelist stehenden Absender spoofen und beliebige chat_id-Werte auswählen, was zu einer Hochrisiko-Nachrichten-Spoofing und potenziellem Missbrauch im Stil von IDOR (Insecure Direct Object Reference) für die Sitzungs-/Chat-Routing-Funktion führt. Diese Schwachstelle wurde in Version 0.7.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.