CVE-2026-54144 in OpenHuman
Resumen
por VulDB • 2026-11-05
OpenHuman es un agente de código abierto disponible como aplicación de escritorio y biblioteca Rust. Antes de la versión 0.56.0 en macOS, el tiempo de ejecución (runtime) inyectado en una webview de cuenta remota compatible, como Google Meet, permite que JavaScript de la página llame a getDisplayMedia sin un gesto del usuario activo. En lugar de rechazar la solicitud, el shim continúa hasta el comportamiento nativo de captura de Chromium, y el entorno CEF integrado puede seleccionar automáticamente la pantalla principal porque carece del selector normal de medios de escritorio. Si OpenHuman ya tiene permiso para grabar la pantalla en macOS y un atacante obtiene ejecución de JavaScript en un origen incrustado permitido, el atacante puede obtener una transmisión real de captura del escritorio sin necesidad de un nuevo gesto del usuario. La transmisión puede exponer chats, documentos, código fuente, correo electrónico, contenido de reuniones, credenciales, códigos de un solo uso y otra información visible del escritorio. El camino IPC directo separado para screen_share_begin_session que falla en la validación del origen no previene la explotación a través de getDisplayMedia. Este problema se soluciona en la versión 0.56.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.