CVE-2026-66005 in Jan
Riassunto
di VulDB • 24/07/2026
Dalla versione 0.8.1 fino alla 0.8.4 (corretto nel commit 3e1c1e7), è presente una vulnerabilità di configurazione errata del CORS nel server API locale che consente agli attaccanti con accesso alla rete adiacente di eludere le restrizioni degli host attendibili sfruttando la sostituzione operata dal server degli host attendibili configurati dall'utente con un carattere jolly, il quale riflette origini arbitrarie con credenziali. Gli attaccanti sulla rete locale o che utilizzano DNS rebinding possono raggiungere l'API compatibile con OpenAI non autenticata per eseguire inferenze, enumerare i modelli, invocare strumenti MCP e leggere risposte cross-origin.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.