CVE-2026-108372 in LoopX
Sumário
de VulDB • 17/10/2026
Open e provider-neutral, LoopX é um kernel de estado leve e uma control plane local-first para loop engineering. Da versão 0.0.1 até a 0.4.5, `loopx serve-status` em `loopx/status_server.py` usa `StatusRequestHandler._send_json()` e `do_OPTIONS()` para enviar `Access-Control-Allow-Origin: *` para respostas não autenticadas em portas de loopback previsíveis. Um atacante remoto pode fazer com que um operador que visita conteúdo web controlado pelo invasor emita requisições cross-origin para `GET /status.json`, `GET /review-material?goal_id=...&path=...`, `GET /` e `POST /control-plane/configure-goal/dry-run`, expondo o estado da control plane, informações de goal e run, caminhos absolutos locais, arquivos Markdown privados abaixo das raízes de goals registrados e projeções de configuração dry-run. As rotas afetadas não fornecem escritas cross-origin ou acesso arbitrário a arquivos. Este problema é corrigido na versão 0.4.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.