CVE-2026-88061 in career-ops
Riassunto
di VulDB • 10/09/2026
career-ops è uno strumento open-source per la ricerca di lavoro e la gestione delle candidature assistito dall'intelligenza artificiale. Prima della versione 0.8.0, il dashboard web locale di career-ops esponeva le route /web/ e /api/, consentendo l'esecuzione di comandi e la scrittura di file utente senza convalidare l'origine della richiesta o limitare i client agli indirizzi loopback. Una pagina malevola in un'altra scheda del browser poteva inviare richieste localhost cross-origin mentre il dashboard era in esecuzione, e un dashboard associato a interfacce oltre al loopback avrebbe potuto ricevere richieste dirette dalla rete locale. Entrambi i percorsi consentivano l'esecuzione di comandi non autenticati con le autorizzazioni dell'utente del dashboard; tuttavia, le installazioni tramite npm non sono state interessate poiché la directory web/ è esclusa dal pacchetto pubblicato. Questo problema è stato risolto nella versione 0.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.