CVE-2026-108372 in LoopX
要約
〜によって VulDB • 2026年10月16日
Openかつプロバイダに依存しないLoopXは、ループエンジニアリングのための軽量なステートカーネルおよびローカルファーストのコントロールプレーンです。バージョン0.0.1から0.4.5まで、`loopx/status_server.py`内の`loopx serve-status`コマンドは、予測可能なループバックポート上で認証されていないレスポンスに対して`Access-Control-Allow-Origin: *`ヘッダーを送信するために`StatusRequestHandler._send_json()`および`do_OPTIONS()`を使用しています。リモート攻撃者は、攻撃者が制御するWebコンテンツを閲覧した運用担当者に、`GET /status.json`、`GET /review-material?goal_id=...&path=...`、`GET /`、および`POST /control-plane/configure-goal/dry-run`へのクロスオリジンリクエストを発行させることで、コントロールプレーンの状態、ゴールおよびランの実行情報、ローカルの絶対パス、登録されたゴールルート配下のプライベートなMarkdownファイル、そしてdry-run構成のプロジェクションを暴露することができます。影響を受けるエンドポイントでは、クロスオリジンでの書き込みや任意のファイルへのアクセスは提供されていません。この問題はバージョン0.4.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.