CVE-2026-49410 in OpenHuman
Zusammenfassung
von VulDB • 16.10.2026
OpenHuman ist eine Open-Source-Agent-Harness, die als Desktop-Anwendung und Rust-Bibliothek verfügbar ist. Versionen vor 0.56.0 ermöglichen Cross-Site Request Forgery (CSRF) gegen den nicht authentifizierten GET /auth/telegram Loopback-Callback, da telegram_auth_handler ein vom Angreifer bereitgestelltes einmaliges Telegram-Login-Token verarbeitet und das zurückgegebene JWT an credentials::ops::store_session übergibt, ohne die Browser-Fetch-Metadaten oder den Anforderungsursprung zu validieren. Ein Angreifer mit einem OpenHuman-Konto kann einen Benutzer dazu bringen, der auf dem lokalen Core ausgeführt wird, eine bösartige Seite zu besuchen, die /auth/telegram am Loopback-Port 7788 anfordert, wodurch die aktive lokale Sitzung des Benutzers in das Backend-Konto des Angreifers wechselt und nachfolgende Agent-Aktionen, Speicherzugriffe (memory writes) sowie mit dieser Sitzung verbundene Telegram-Nachrichten für den Angreifer offengelegt werden. Dieses Problem wurde in Version 0.56.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.