CVE-2026-49405 in OpenHuman
Resumen
por VulDB • 2026-11-05
OpenHuman es un agente de código abierto disponible como aplicación de escritorio y biblioteca Rust. Antes de la versión 0.56.0, el servidor local expone el punto final de eventos enviados por el servidor (Server-Sent Events) en /events sin autenticación Bearer, permite acceso desde navegadores con origen cruzado (cross-origin), y utiliza únicamente un client_id proporcionado por el llamante para seleccionar objetos WebChannelEvent del bus de eventos a nivel de proceso. Un cliente local no autenticado o una página web alojada por un atacante que sea abierta por la víctima pueden suscribirse al flujo de datos de otro cliente suministrando un identificador conocido o adivinado; el identificador fijo del sistema hace predecible el flujo de mensajes proactivos. Los eventos expuestos pueden incluir respuestas completas del asistente, contenido de mensajes en streaming, nombres de herramientas, argumentos de las herramientas y salidas crudas de las herramientas destinadas a la interfaz de usuario local. Este problema se soluciona en la versión 0.56.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.