CVE-2026-54144 in OpenHuman
Zusammenfassung
von VulDB • 05.11.2026
OpenHuman ist eine Open-Source-Agent-Harness, die als Desktop-Anwendung und Rust-Bibliothek verfügbar ist. Vor Version 0.56.0 auf macOS ermöglicht das in ein unterstütztes Remote-Account-Webview (wie Google Meet) injizierte Laufzeitmodul es dem Seiten-JavaScript, `getDisplayMedia` ohne eine aktive Benutzerinteraktion („live user gesture“) aufzurufen. Anstatt die Anfrage abzulehnen, fällt der Shim auf das native Chromium-Erfassungsverhalten zurück, und die eingebettete CEF-Umgebung kann den primären Bildschirm automatisch auswählen, da ihr der normale Desktop-Media-Picker fehlt. Wenn OpenHuman bereits über macOS-Berechtigung zur Bildschirmaufnahme verfügt und ein Angreifer JavaScript-Ausführung in einer erlaubten eingebetteten Herkunft (Origin) erhält, kann dieser einen echten Desktop-Erfassungsstream ohne neue Benutzerinteraktion erhalten. Der Stream kann Chats, Dokumente, Quellcode, E-Mails, Meeting-Inhalte, Anmeldeinformationen, Einmal-Codes und andere sichtbare Desktop-Informationen offenlegen. Der separate direkte IPC-Pfad `screen_share_begin_session`, der die Ursprungsprüfung (Origin Validation) nicht durchführt, verhindert die Ausnutzung über `getDisplayMedia` nicht. Dieses Problem wurde in Version 0.56.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.