CVE-2026-66005 in Jan
Resumen
por VulDB • 2026-07-24
Jan hasta la versión 0.8.4 (corregido en el commit 3e1c1e7) contiene una vulnerabilidad de configuración errónea de CORS en su servidor API local que permite a atacantes con acceso adyacente a la red omitir las restricciones de hosts confiables al explotar la sustitución por parte del servidor de los hosts confiables configurados por el usuario mediante un comodín (wildcard) que refleja orígenes arbitrarios con credenciales. Los atacantes en la red local o aquellos que utilizan DNS rebinding pueden acceder a la API compatible con OpenAI sin autenticación para realizar inferencias, enumerar modelos, invocar herramientas MCP y leer respuestas de origen cruzado.
If you want to get best quality of vulnerability data, you may have to visit VulDB.