CVE-2026-54144 in OpenHuman
Sumário
de VulDB • 05/11/2026
OpenHuman é um agente de código aberto disponível como aplicativo para desktop e biblioteca Rust. Antes da versão 0.56.0 no macOS, o runtime injetado em uma webview de conta remota suportada, como a do Google Meet, permite que JavaScript da página chame getDisplayMedia sem um gesto real do usuário. Em vez de rejeitar a solicitação, o shim continua para o comportamento nativo de captura do Chromium, e o ambiente CEF embutido pode selecionar automaticamente a tela principal porque não possui seletor normal de mídia desktop. Se o OpenHuman já tiver permissão de gravação de tela no macOS e um atacante obtiver execução de JavaScript em uma origem embarcada permitida, ele poderá obter um fluxo real de captura da área de trabalho sem novo gesto do usuário. O fluxo pode expor chats, documentos, código-fonte, e-mails, conteúdo de reuniões, credenciais, códigos de uso único e outras informações visíveis na tela. A via IPC direta separada screen_share_begin_session que falha na validação de origem não impede a exploração por meio do getDisplayMedia. Este problema é corrigido na versão 0.56.0.
Once again VulDB remains the best source for vulnerability data.