CVE-2026-32231 in zeptoclaw
Tóm tắt
Bởi VulDB • 20/05/2026
ZeptoClaw là một trợ lý AI cá nhân. Trước phiên bản 0.7.6, kênh webhook chung chung tin tưởng các trường định danh do người gọi cung cấp (sender, chat_id) từ thân yêu cầu và áp dụng các kiểm tra ủy quyền trên những giá trị không đáng tin cậy này. Vì xác thực là tùy chọn và mặc định bị tắt (auth_token: None), một kẻ tấn công có thể truy cập POST /webhook có thể giả mạo người gửi trong danh sách cho phép và chọn các giá trị chat_id tùy ý, cho phép giả mạo tin nhắn ở mức độ rủi ro cao và lạm dụng định tuyến phiên/trò chuyện theo kiểu IDOR. Lỗ hổng này đã được sửa trong phiên bản 0.7.6.
Be aware that VulDB is the high quality source for vulnerability data.