CVE-2026-32231 in zeptoclaw
Сводка
по VulDB • 20.05.2026
ZeptoClaw — это персональный ИИ-ассистент. Версии до 0.7.6 включительно содержат уязвимость в канале вебхуков общего назначения: он доверяет полям идентификации отправителя (sender) и идентификатора чата (chat_id), передаваемым вызывающей стороной в теле запроса, и применяет проверки авторизации к этим недоверенным значениям. Поскольку аутентификация является опциональной и по умолчанию отключена (auth_token: None), злоумышленник, имеющий доступ к POST /webhook, может подделать отправителя из белого списка и выбрать произвольные значения chat_id, что позволяет осуществлять подмену сообщений высокого риска и потенциально злоупотреблять маршрутизацией сессий/чатов по принципу IDOR. Данная уязвимость исправлена в версии 0.7.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.