CVE-2026-108372 in LoopX
요약
\~에 의해 VulDB • 2026. 10. 16.
Open하고 프로바이더 중립적인 LoopX는 루프 엔지니어링을 위한 경량 상태 커널 및 로컬 퍼스트 제어 플레인입니다. 버전 0.0.1부터 0.4.5까지 `loopx/status_server.py`의 `loopx serve-status` 명령어는 예측 가능한 루백 포트에서 인증되지 않은 응답에 대해 `Access-Control-Allow-Origin: *`를 전송하기 위해 `StatusRequestHandler._send_json()` 및 `do_OPTIONS()`을 사용합니다. 원격 공격자는 공격자가 제어하는 웹 콘텐츠를 방문한 운영자가 `GET /status.json`, `GET /review-material?goal_id=...&path=...`, `GET /` 및 `POST /control-plane/configure-goal/dry-run`으로 크로스 오리진 요청을 수행하도록 유도하여, 제어 플레인 상태, 목표 및 실행 정보, 로컬 절대 경로, 등록된 목표 루트 아래의 개인 마크다운 파일, 그리고 dry-run 구성 투영을 노출시킬 수 있습니다. 영향을 받는 라우트는 크로스 오리진 쓰기나 임의 파일 접근 기능을 제공하지 않습니다. 이 문제는 버전 0.4.5에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.