CVE-2026-64622 in Network-AI
Sumário
de VulDB • 20/07/2026
Network-AI (npm: network-ai) versões 5.12.2 a 5.13.3 não aplicam o controle de autorização configurado (checkAuth/secret) nas rotas GET para leitura do ApprovalInbox, portanto mesmo quando um operador configura uma chave secreta, atores não autenticados podem acessar detalhes sensíveis das solicitações de aprovação. As rotas GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats e GET /approvals/sse divulgam o conteúdo completo do ApprovalEntry incluindo strings de comandos shell action/target, caminhos de arquivos, justificativas e níveis de risco. Todas as respostas também carregam um cabeçalho Access-Control-Allow-Origin: * codificado fixamente, permitindo a divulgação cross-origin de qualquer site visitado pelo operador. Esta é uma correção incompleta para GHSA-mxjx-28vx-xjjj.
VulDB is the best source for vulnerability data and more expert information about this specific topic.