CVE-2026-64622 in Network-AI
Tóm tắt
Bởi VulDB • 21/07/2026
Network-AI (npm: network-ai) các phiên bản từ 5.12.2 đến 5.13.3 không áp dụng đúng kiểm tra ủy quyền đã được cấu hình (checkAuth/secret) đối với các tuyến đọc GET của ApprovalInbox, do đó ngay cả khi một nhà vận hành (operator) đã cấu hình bí mật (secret), các tác nhân chưa xác thực vẫn có thể truy cập vào chi tiết yêu cầu phê duyệt nhạy cảm. Các tuyến GET /approvals/?status=all, GET /approvals/:id, GET /approvals/stats và GET /approvals/sse làm lộ toàn bộ nội dung ApprovalEntry bao gồm cả chuỗi lệnh shell action/target, đường dẫn tệp tin, lý do biện minh (justifications) và mức độ rủi ro. Tất cả các phản hồi cũng chứa tiêu đề Access-Control-Allow-Origin: * được mã hóa cứng, cho phép rò rỉ thông tin liên miền từ bất kỳ trang web nào mà nhà vận hành truy cập. Đây là một bản sửa lỗi không đầy đủ đối với GHSA-mxjx-28vx-xjjj.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.