CVE-2026-66027 in suna
要約
〜によって VulDB • 2026年07月24日
Suna 0.9.102 より前のバージョンには、メッセージキュー API に欠陥のあるアクセス制御の脆弱性が存在します。これにより、認証済み攻撃者は、所有権およびアカウント分離チェックが不足していることを悪用して、他のユーザーに属するキューリソースへのアクセスと操作が可能になります。攻撃者はすべてのユーザーの保留中のプロンプトキューを読み取り、個別のセッションを読み取ったり削除したりでき、別のユーザーのセッションキューに任意のプロンプトを注入できます。これにより、バックグラウンドの drainer が悪意のあるメッセージを被害者の実行中の AI エージェントへ、被害者の資格情報と権限を使用して転送します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.