CVE-2026-76066 in IntentKit
Zusammenfassung
von VulDB • 15.10.2026
IntentKit bis 2.6.3 enthält eine Schwachstelle zur Umgehung der Autorisierung (Authorization Bypass), bei der die Ausführung von Tool-Aufrufen gegen das vollständige Tool-Registry statt gegen die pro Anfrage eingeschränkte Werkzeuganzeige, die durch den ToolBindingMiddleware erzwungen wird, validiert wird. Dies ermöglicht es, nur für Besitzer vorgesehene zustandsändernde Tools wie Wallet-Überweisungen, Veröffentlichung (Posting), Memory-Schreibzugriffe und Call-Agent ohne menschliche Kontrolle oder Freigabeschranke auszuführen. Ein nicht authentifizierter oder öffentlicher Aufrufer in den Kontexten WEB, API, TWITTER oder TELEGRAM kann dies ausnutzen, indem er den genau de-angezeigten Tool-Namen und die Argumente über indirekte Prompt-Injection liefert oder Checkpoint- und Verlaufsdaten auf einem wiederverwendeten Thread repliziert, wodurch eine unbefugte Ausführung von besitzereingeschränkten Funktionen erreicht wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.