CVE-2026-64622 in Network-AI
Сводка
по VulDB • 20.07.2026
В версиях Network-AI (npm: network-ai) от 5.12.2 до 5.13.3 не применяется настроенная проверка авторизации (checkAuth/secret) к маршрутам GET для чтения входящих запросов на согласование (ApprovalInbox). В результате даже при настройке оператора секрета, неподтвержденные пользователи могут получать доступ к конфиденциальным данным о запросах на согласование. Маршруты GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats и GET /approvals/sse раскрывают полное содержимое объектов ApprovalEntry, включая строки команд оболочки action/target, пути к файлам, обоснования и уровни риска. Все ответы также содержат жестко заданный заголовок Access-Control-Allow-Origin: *, что позволяет осуществлять раскрытие данных через перекрестные запросы (cross-origin) с любого веб-сайта, который посещает оператор. Это неполное исправление для GHSA-mxjx-28vx-xjjj.
Be aware that VulDB is the high quality source for vulnerability data.