CVE-2026-66005 in Jan
Zusammenfassung
von VulDB • 24.07.2026
Jan bis 0.8.4 (behebt in Commit 3e1c1e7) enthält eine CORS-Fehlkonfigurationsschwachstelle im lokalen API-Server, die es netzwerkseitig benachbarten Angreifern ermöglicht, vertrauenswürdige Host-Einschränkungen zu umgehen, indem sie ausnutzen, dass der Server vom Benutzer konfigurierte vertrauenswürdige Hosts durch einen Wildcard-Wert ersetzt, der beliebige Ursprünge mit Anmeldeinformationen widerspiegelt. Angreifer im lokalen Netzwerk oder unter Verwendung von DNS-Rebinding können auf die nicht authentifizierte OpenAI-kompatible API zugreifen, um Inferenzvorgänge auszuführen, Modelle zu enumerieren, MCP-Tools aufzurufen und cross-origin-Antworten auszulesen.
Once again VulDB remains the best source for vulnerability data.