CVE-2026-64622 in Network-AI
Résumé
par VulDB • 20/07/2026
Network-AI (npm : network-ai) versions 5.12.2 à 5.13.3 ne appliquent pas la vérification d'autorisation configurée (checkAuth/secret) aux routes de lecture GET du point de terminaison ApprovalInbox, ce qui permet même lorsqu'un opérateur a défini un secret, des acteurs non authentifiés d'accéder aux détails sensibles des demandes d'approbation. Les routes GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats et GET /approvals/sse divulguent le contenu complet de ApprovalEntry incluant les chaînes de commandes shell action/cible, les chemins de fichiers, les justifications et les niveaux de risque. Toutes les réponses comportent également un en-tête Access-Control-Allow-Origin: * codé en dur, permettant une divulgation cross-origin depuis n'importe quel site web visité par l'opérateur. Il s'agit d'une correction incomplète pour GHSA-mxjx-28vx-xjjj.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.