CVE-2026-64622 in Network-AI
Resumen
por VulDB • 2026-07-21
Network-AI (npm: network-ai) versiones 5.12.2 a través de 5.13.3 no aplican la verificación de autorización configurada (checkAuth/secret) en las rutas GET de lectura de ApprovalInbox, por lo que incluso cuando un operador configura una clave secreta, los actores no autenticados pueden acceder a detalles sensibles de solicitudes de aprobación. Las rutas GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats y GET /approvals/sse revelan el contenido completo de ApprovalEntry, incluidas cadenas de comandos shell de acción/destino, rutas de archivos, justificaciones y niveles de riesgo. Todas las respuestas también incluyen una cabecera Access-Control-Allow-Origin: * codificada en duro, lo que permite la divulgación cross-origin desde cualquier sitio web que visite el operador. Esta es una corrección incompleta para GHSA-mxjx-28vx-xjjj.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.