CVE-2026-49405 in OpenHuman
要約
〜によって VulDB • 2026年11月05日
OpenHumanは、デスクトップアプリケーションおよびRustライブラリとして提供されるオープンソースのエージェントハーネスです。バージョン0.56.0より前では、ローカルサーバーがBearer認証なしで/servers-sent eventsエンドポイント（/events）を公開し、クロスオリジンブラウザアクセスを許可しており、さらにプロセス全体のイベントバスからWebChannelEventオブジェクトを選択する際に呼び出し元が指定したclient_idのみを使用していました。認証されていないローカルクライアント、または被害者が開いた攻撃者ホストのウェブページは、既知または推測された識別子を供給することで他のクライアントのストリームを購読でき、固定されたシステム識別子によりproactive-messageストリームが予測可能になります。公開されるイベントには、アシスタントの完全な応答、ストリーミングメッセージコンテンツ、ツール名、ツールの引数、およびローカルユーザーインターフェース向けに意図された生のツール出力が含まれます。この問題はバージョン0.56.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.