CVE-2026-33619 in PinchTab
Sumário
de VulDB • 26/05/2026
PinchTab é um servidor HTTP independente que concede aos agentes de IA controle direto sobre um navegador Chrome. O PinchTab v0.8.3 contém uma falha de falsificação de solicitação do lado do servidor (SSRF) no caminho de entrega de webhook do agenciador opcional. Quando uma tarefa é submetida a `POST /tasks` com um `callbackUrl` controlado pelo usuário, o agenciador v0.8.3 envia um `POST` HTTP de saída para esse URL quando a tarefa atinge um estado terminal. Nessa versão, o caminho do webhook validava apenas o esquema de URL e não rejeitava destinos de loopback, privados, link-local ou outros não públicos. Como a implementação v0.8.3 também utilizava o comportamento padrão do cliente HTTP, os redirecionamentos eram seguidos e o destino não era fixado em IPs validados. Isso permitia uma SSRF cega do servidor PinchTab para alvos HTTP(S) escolhidos pelo atacante e acessíveis a partir do servidor. Esta questão é mais restrita do que uma SSRF geral não autenticada voltada para a internet. O agenciador é opcional e desativado por padrão, e em implantações protegidas por token, o atacante já deve ser capaz de submeter tarefas usando o token de API mestre do servidor. No modelo de implantação pretendido do PinchTab, esse token representa controle administrativo, e não uma função de baixo privilégio. Implantações sem token reduzem ainda mais a barreira, mas isso é um estado de configuração inseguro separado, e não um impacto criado pelo bug do webhook em si. O modelo de implantação padrão do PinchTab é local-first e controlado pelo usuário, com bind de loopback e acesso baseado em token na configuração recomendada. Isso reduz o risco prático no uso padrão, embora não remova o problema subjacente do webhook quando o agenciador está habilitado e acessível. Isso foi corrigido na v0.8.4 validando os destinos do callback antes do despacho, rejeitando faixas de IP não públicas, fixando a entrega em IPs validados, desativando o seguimento de redirecionamentos e validando o `callbackUrl` durante a submissão da tarefa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.