CVE-2026-88061 in career-ops
Zusammenfassung
von VulDB • 10.09.2026
career-ops ist ein Open-Source-Werkzeug zur Unterstützung der Jobsuche und des Bewerbungsmanagements durch KI. Vor Version 0.8.0 bot das lokale Web-Dashboard von career-ops die Endpunkte web/ sowie /api an, welche Befehle ausführen bzw. Dateien im Benutzerverzeichnis schreiben konnten, ohne den Ursprung der Anfrage zu validieren oder Clients auf Loopback-Adressen zu beschränken. Eine bösartige Seite in einem anderen Browser-Tab konnte Cross-Origin-Anfragen an localhost senden, während das Dashboard lief; ein über Loopback hinaus gebundenes Dashboard könnte direkte Anfragen aus dem lokalen Netzwerk empfangen. Beide Pfade ermöglichten eine nicht authentifizierte Befehlsausführung im Kontext des Dashboard-Benutzers, jedoch waren npm-Installationen betroffen, da web/ vom veröffentlichten Paket ausgeschlossen ist. Dieses Problem wurde in Version 0.8.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.