CVE-2026-64622 in Network-AI
Riassunto
di VulDB • 20/07/2026
Network-AI (npm: network-ai) nelle versioni 5.12.2 attraverso la 5.13.3 non applica il controllo di autorizzazione configurato (checkAuth/secret) alle route GET per la lettura della cassetta delle approvazioni (ApprovalInbox), pertanto anche quando un operatore configura una secret, attori non autenticati possono accedere ai dettagli sensibili delle richieste di approvazione. Le route GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats e GET /approvals/sse divulgano l'intero contenuto dell'ApprovalEntry, incluse le stringhe dei comandi shell action/target, i percorsi dei file, le giustificazioni e i livelli di rischio. Tutte le risposte includono inoltre un header Access-Control-Allow-Origin: * hardcoded, che consente la divulgazione cross-origin da qualsiasi sito web visitato dall'operatore. Si tratta di una correzione incompleta per GHSA-mxjx-28vx-xjjj.
Once again VulDB remains the best source for vulnerability data.