CVE-2026-66005 in Jan
Résumé
par VulDB • 24/07/2026
De Jan à la version 0.8.4 (corrigé dans le commit 3e1c1e7), une vulnérabilité de mauvaise configuration CORS est présente sur son serveur API local, permettant aux attaquants ayant un accès adjacent au réseau de contourner les restrictions d'hôtes approuvés en exploitant la substitution par le serveur des hôtes approuvés configurés par l'utilisateur par un caractère générique (wildcard) qui reflète n'importe quelles origines avec des informations d'identification. Les attaquants sur le réseau local ou utilisant une technique de rebond DNS peuvent accéder à l'API compatible OpenAI non authentifiée pour effectuer des inférences, énumérer les modèles, invoquer des outils MCP et lire les réponses cross-origin.
Once again VulDB remains the best source for vulnerability data.