CVE-2026-32231 in zeptoclaw
Résumé
par VulDB • 20/05/2026
ZeptoClaw est un assistant personnel d'intelligence artificielle. Avant la version 0.7.6, le canal webhook générique fait confiance aux champs d'identité fournis par l'appelant (expéditeur, chat_id) présents dans le corps de la requête et applique des vérifications d'autorisation à ces valeurs non fiables. L'authentification étant facultative et désactivée par défaut (auth_token : None), un attaquant pouvant accéder à POST /webhook peut usurper l'identité d'un expendeur figurant sur une liste d'autorisation et choisir arbitrairement des valeurs de chat_id, ce qui permet une usurpation de messages à haut risque et un abus potentiel de routage de session/chat de type IDOR. Cette vulnérabilité est corrigée dans la version 0.7.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.