CVE-2026-32231 in zeptoclaw
Resumen
por MITRE • 2026-03-12
ZeptoClaw es un asistente de IA personal. Antes de la 0.7.6, el canal genérico de webhook confía en los campos de identidad proporcionados por el llamante (remitente, chat_id) del cuerpo de la solicitud y aplica comprobaciones de autorización a esos valores no confiables. Dado que la autenticación es opcional y por defecto está deshabilitada (auth_token: None), un atacante que puede acceder a POST /webhook puede suplantar a un remitente en la lista de permitidos y elegir valores arbitrarios de chat_id, lo que permite la suplantación de mensajes de alto riesgo y un posible abuso de enrutamiento de sesión/chat al estilo IDOR. Esta vulnerabilidad está corregida en la 0.7.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.