CVE-2026-32231 in zeptoclaw
Riassunto
di VulDB • 15/06/2026
ZeptoClaw è un assistente personale basato sull'intelligenza artificiale. Prima della versione 0.7.6, il canale webhook generico si fida dei campi di identità forniti dal chiamante (sender, chat_id) presenti nel corpo della richiesta e applica controlli di autorizzazione su tali valori non attendibili. Poiché l'autenticazione è facoltativa e disabilitata per impostazione predefinita (auth_token: None), un attaccante in grado di raggiungere POST /webhook può falsificare un mittente presente nella whitelist e scegliere arbitrariamente i valori di chat_id, consentendo la spoofing di messaggi ad alto rischio e potenziali abusi dello routing delle sessioni/chat di tipo IDOR. Questa vulnerabilità è stata risolta nella versione 0.7.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.