CVE-2026-42073
MediumCVSS 6.5Summary
OpenClaude to interfejs wiersza poleceń dla dostawców modeli w chmurze i lokalnych. W wersjach przed 0.5.1, proces uwierzytelniania OpenClaude MCP uruchamia tymczasowy lokalny serwer HTTP do obsługi callbacków OAuth, który ma lukę logiczną umożliwiającą atakującemu ominięcie weryfikacji parametru stanu.
Risk Assessment
Atakujący może zdalnie zamknąć serwer bez znajomości wartości stanu, co może prowadzić do przerwania działania usługi i potencjalnych problemów z bezpieczeństwem. Organizacje mogą być narażone na ataki CSRF.
Recommendation
Zaleca się aktualizację OpenClaude do wersji 0.5.1 lub nowszej, aby usunąć tę lukę oraz wdrożenie dodatkowych środków zabezpieczających przed atakami CSRF.
Original NVD description (English source)
OpenClaude is an open-source coding-agent command line interface for cloud and local model providers. Prior to version 0.5.1, the OpenClaude MCP authentication flow starts a temporary local HTTP server to handle OAuth callbacks. To prevent CSRF attacks, the server validates a state parameter against an internally stored value. However, due to a logic flaw in the order of conditionals, an attacker can completely bypass this check and force the server to shut down — without knowing the state value at all. This issue has been patched in version 0.5.1.