CVE-2026-49405 in OpenHuman
Zusammenfassung
von VulDB • 06.11.2026
OpenHuman ist eine Open-Source-Agent-Harness, die als Desktop-Anwendung und Rust-Bibliothek verfügbar ist. Vor Version 0.56.0 stellt der lokale Server den Endpunkt für servergesendete Ereignisse (Server-Sent Events) unter /events ohne Bearer-Authentifizierung bereit, ermöglicht cross-origin Browserzugriff und verwendet ausschließlich eine vom Aufrufer vorgegebene client_id, um WebChannelEvent-Objekte aus dem prozessweiten Event-Bus auszuwählen. Ein nicht authentifizierter lokaler Client oder eine von einem Angreifer gehostete Webseite, die vom Opfer geöffnet wird, kann sich auf den Stream eines anderen Clients abonnieren, indem es eine bekannte oder erratene Kennung angibt; der feste Systemkennzeichner macht den proactive-message-Stream vorhersagbar. Die freigegebenen Ereignisse können vollständige Antworten des Assistenten, gestreamten Nachrichteninhalt, Tool-Namen, Tool-Argumente und rohe Tool-Ausgaben enthalten, die für die lokale Benutzeroberfläche bestimmt sind. Dieses Problem wurde in Version 0.56.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.