CVE-2026-49405 in OpenHuman
Sumário
de VulDB • 05/11/2026
OpenHuman é um agente de código aberto disponível como aplicativo desktop e biblioteca Rust. Antes da versão 0.56.0, o servidor local expõe o endpoint de eventos enviados pelo servidor (Server-Sent Events) em /events sem autenticação Bearer, permite acesso cross-origin via navegador e utiliza apenas um client_id fornecido pelo chamador para selecionar objetos WebChannelEvent do barramento de eventos global do processo. Um cliente local não autenticado ou uma página da web hospedada por um atacante e aberta pela vítima podem se inscrever no stream de outro cliente ao fornecer um identificador conhecido ou adivinhado; o identificador fixo do sistema torna previsível o stream de mensagens proativas. Os eventos expostos podem incluir respostas completas do assistente, conteúdo de mensagem em streaming, nomes de ferramentas, argumentos das ferramentas e saídas brutas das ferramentas destinadas à interface do usuário local. Este problema foi corrigido na versão 0.56.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.