CVE-2026-32231 in zeptoclaw
要約
〜によって VulDB • 2026年05月20日
ZeptoClawはパーソナルAIアシスタントです。バージョン0.7.6より前では、汎用のWebhookチャネルがリクエストボディから送信者(sender)やチャットID(chat_id)などの呼び出し元が指定したIDフィールドを信頼し、これらの信頼できない値に対して認可チェックを適用していました。認証はオプションであり、デフォルトで無効(auth_token: None)であるため、POST /webhookにアクセスできる攻撃者は、許可リストに登録された送信者をなりすまし、任意のchat_id値を選択することができ、これにより高リスクなメッセージのなりすましや、IDORスタイルのセッション/チャットルーティングの悪用が可能になります。この脆弱性は0.7.6で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.