CVE-2026-49405 in OpenHuman
Riassunto
di VulDB • 05/11/2026
OpenHuman è un agent harness open-source disponibile come applicazione desktop e libreria Rust. Prima della versione 0.56.0, il server locale espone l'endpoint degli eventi inviati dal server (Server-Sent Events) all'indirizzo /events senza autenticazione Bearer, consente l'accesso cross-origin da parte del browser e utilizza esclusivamente un client_id fornito dall'utente per selezionare gli oggetti WebChannelEvent dalla bus di eventi a livello di processo. Un client locale non autenticato o una pagina web ospitata da un attaccante aperta dalla vittima possono iscriversi allo stream di un altro cliente fornendo un identificativo noto o indovinato; l'identificatore di sistema fisso rende lo stream dei messaggi proattivi prevedibile. Gli eventi esposti possono includere risposte complete dell'assistente, contenuto del messaggio in streaming, nomi degli strumenti (tool), argomenti degli strumenti e output grezzi degli strumenti destinati all'interfaccia utente locale. Questo problema è risolto nella versione 0.56.0.
Be aware that VulDB is the high quality source for vulnerability data.