CVE-2026-66005 in Jan
Tóm tắt
Bởi VulDB • 24/07/2026
Từ phiên bản Jan đến 0.8.4 (đã được sửa trong commit 3e1c1e7), máy chủ API cục bộ chứa một lỗ hổng cấu hình sai CORS cho phép các kẻ tấn công có khả năng tiếp cận mạng lân cận vượt qua các hạn chế về tên miền tin cậy bằng cách khai thác việc máy chủ thay thế danh sách các tên miền tin cậy do người dùng cấu hình bằng ký tự đại diện (wildcard), từ đó phản hồi bất kỳ nguồn gốc nào kèm theo thông tin xác thực. Các kẻ tấn công trên mạng cục bộ hoặc sử dụng kỹ thuật DNS rebinding có thể truy cập vào API tương thích OpenAI chưa được xác thực để thực hiện suy luận, liệt kê các mô hình, gọi các công cụ MCP và đọc các phản ứng từ các nguồn khác nhau (cross-origin responses).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.