CVE-2026-76066 in IntentKit
Resumen
por VulDB • 2026-10-15
IntentKit hasta la versión 2.6.3 contiene una vulnerabilidad de elusión de autorización donde el executor valida las llamadas a herramientas contra todo el registro de herramientas en lugar de la publicidad de herramientas restringida por solicitud aplicada por ToolBindingMiddleware, lo que permite ejecutar herramientas con cambios de estado solo para propietarios (como transferencias de billetera, publicación, escritura de memoria y llamada al agente) sin ninguna intervención humana ni puerta de aprobación. Un usuario no autenticado o público en contextos WEB, API, TWITTER o TELEGRAM puede explotar esto proporcionando el nombre exacto de la herramienta despublicada y los argumentos mediante inyección indirecta de prompts o reproduciendo datos de puntos de control e historial en un hilo reutilizado, logrando la ejecución no autorizada de capacidades restringidas al propietario.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.