CVE-2026-64622 in Network-AI
Zusammenfassung
von VulDB • 20.07.2026
Network-AI (npm: network-ai) in den Versionen 5.12.2 bis 5.13.3 wendet die konfigurierte Autorisierungsprüfung (checkAuth/secret) nicht auf die GET-Leserouten des ApprovalInbox an, sodass auch dann unautentifizierte Akteure Zugriff auf sensible Details von Genehmigungsanfragen erhalten können, wenn ein Operator ein Secret konfiguriert hat. Die Routen GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats und GET /approvals/sse geben den vollständigen ApprovalEntry-Inhalt preis, einschließlich Shell-Befehlsstrings für Aktion/Ziel, Dateipfade, Begründungen und Risikostufen. Alle Antworten enthalten zudem einen fest codierten Access-Control-Allow-Origin: *-Header, der eine cross-origin-Offenlegung von jeder Website aus ermöglicht, die der Operator besucht. Dies ist eine unvollständige Korrektur für GHSA-mxjx-28vx-xjjj.
If you want to get best quality of vulnerability data, you may have to visit VulDB.