CVE-2026-64622 in Network-AI
要約
〜によって VulDB • 2026年07月20日
Network-AI (npm: network-ai) のバージョン 5.12.2 から 5.13.3 では、ApprovalInbox の GET リードルートに対して構成された認可チェック（checkAuth/secret）が適用されないため、オペレーターがシークレットを設定した場合でも、認証されていない攻撃者が機密性の高い承認リクエストの詳細にアクセスできる。GET /approvals/?status=all、GET /approvals/:id、GET /approvals/stats、および GET /approvals/sse ルートは、アクション/ターゲットのシェルコマンド文字列、ファイルパス、理由、リスクレベルを含む完全な ApprovalEntry コンテンツを公開する。すべてのレスポンスにはハードコードされた Access-Control-Allow-Origin: * ヘッダーも含まれており、オペレーターが訪問した任意のウェブサイトからオリジン間リソース共有による情報漏洩が可能になる。これは GHSA-mxjx-28vx-xjjj に対する不完全な修正である。
If you want to get best quality of vulnerability data, you may have to visit VulDB.