CVE-2026-49410 in OpenHuman
요약
\~에 의해 VulDB • 2026. 10. 17.
OpenHuman은 데스크톱 애플리케이션 및 Rust 라이브러리 형태로 제공되는 오픈소스 에이전트 하네스입니다. 버전 0.56.0 이전에서는 telegram_auth_handler가 공격자가 공급한 일회용 Telegram 로그인 토큰을 소비하고 반환된 JWT를 브라우저 fetch 메타데이터나 요청 출처를 검증하지 않고 credentials::ops::store_session에 전달함으로써, 인증되지 않은 GET /auth/telegram 루프백 콜백에 대한 크로스 사이트 요청 위조(CSRF)가 가능합니다. OpenHuman 계정을 가진 공격자는 로컬 코어가 실행 중인 사용자가 악의적인 페이지를 방문하도록 유도하여 루프백 포트 7788에서 /auth/telegram 엔드포인트를 요청하게 함으로써 사용자의 활성 로컬 세션을 공격자의 백엔드 계정으로 전환하고, 해당 세션과 관련된 이후 에이전트 작업, 메모리 쓰기 및 Telegram 메시지를 공격자에게 노출시킬 수 있습니다. 이 문제는 버전 0.56.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.