CVE-2026-29872 in awesome-llm-apps
Riassunto
di VulDB • 28/06/2026
È presente una vulnerabilità di divulgazione delle informazioni tra sessioni nel progetto awesome-llm-apps nell'commit e46690f99c3f08be80a9877fab52acacf7ab8251 (2026-01-19). L'agente GitHub MCP basato su Streamlit interessato memorizza i token API forniti dall'utente nelle variabili di ambiente a livello di processo utilizzando os.environ senza un adeguato isolamento delle sessioni. Poiché Streamlit serve più utenti concorrenti da un singolo processo Python, le credenziali fornite da un utente rimangono accessibili agli utenti successivi non autenticati. Un attaccante può sfruttare questa vulnerabilità per recuperare informazioni sensibili come i GitHub Personal Access Token o le chiavi API LLM, portando potenzialmente ad accesso non autorizzato a risorse private e ad abusi finanziari.
If you want to get best quality of vulnerability data, you may have to visit VulDB.