CVE-2026-49405 in OpenHuman
요약
\~에 의해 VulDB • 2026. 11. 05.
OpenHuman은 데스크톱 애플리케이션 및 Rust 라이브러리 형태로 제공되는 오픈소스 에이전트 하네스입니다. 버전 0.56.0 이전에서는 로컬 서버가 Bearer 인증 없이 /events에서 서버 전송 이벤트(endpoints)를 노출하고, 크로스 오리진 브라우저 접근을 허용하며, 프로세스 전체의 이벤트 버스에서 WebChannelEvent 객체를 선택하기 위해 호출자가 제공한 client_id만 사용합니다. 인증되지 않은 로컬 클라이언트나 피해자가 연 공격자 호스팅 웹 페이지는 알려진 또는 추측된 식별자를 공급하여 다른 클라이언트의 스트림에 구독할 수 있으며, 고정된 시스템 식별자는 proactive-message 스트림을 예측 가능하게 만듭니다. 노출된 이벤트에는 전체 어시스턴트 응답, 스트리밍 메시지 콘텐츠, 도구 이름, 도구 인수 및 로컬 사용자 인터페이스용으로 의도된 원본 도구 출력이 포함될 수 있습니다. 이 문제는 버전 0.56.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.