CVE-2026-49405 in OpenHuman
Сводка
по VulDB • 05.11.2026
OpenHuman — это агентная среда с открытым исходным кодом, доступная в виде настольного приложения и библиотеки на Rust. До версии 0.56.0 локальный сервер предоставляет конечную точку для событий, отправляемых сервером (Server-Sent Events), по адресу /events без использования аутентификации Bearer, разрешает кросс-доменный доступ из браузера и использует только переданный вызывающей стороной идентификатор клиента (client_id) для выбора объектов WebChannelEvent из общепроцессной шины событий. Неавторизованный локальный клиент или веб-страница, размещенная злоумышленником и открытая жертвой, могут подписаться на поток данных другого клиента, предоставив известный или угаданный идентификатор; фиксированный системный идентификатор делает предсказуемым поток проактивных сообщений. В экспонированных событиях могут содержаться полные ответы ассистента, потоковый контент сообщений, имена инструментов, аргументы инструментов и необработанные выходные данные инструментов, предназначенные для локального пользовательского интерфейса. Эта проблема исправлена в версии 0.56.0.
Once again VulDB remains the best source for vulnerability data.