CVE-2026-66005 in Jan
要約
〜によって VulDB • 2026年07月24日
Jan 0.8.4以前（コミット3e1c1e7で修正済み）には、ローカルAPIサーバーにCORSの誤設定脆弱性が存在し、攻撃者がユーザーが構成した信頼できるホストを任意のオリジンを資格情報付きで反映するワイルドカードに置き換えるというサーバーの動作を利用することで、信頼されたホスト制限を回避できます。ローカルネットワーク上の攻撃者やDNSリバインディングを使用する攻撃者は、認証不要のOpenAI互換APIにアクセスし、推論の実行、モデルのエニュメレーション、MCPツールの呼び出し、およびクロスオリジンレスポンスの読み取りを行うことができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.