CVE-2026-108549
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
cc-connect do wersji 1.5.0 zawiera podatność braku uwierzytelniania w trybie webhook adaptera MAX. Gdy nie skonfigurowano webhook_secret, zdalni atakujący mogą wysyłać nieuwierzytelnione aktualizacje na port 8080 i podszywać się pod dozwolonego użytkownika lub administratora, aby wykonywać uprzywilejowane komendy, takie jak /shell na hoście.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ nieuwierzytelniony atakujący może przejąć kontrolę nad hostem, wykonując dowolne komendy w kontekście uprzywilejowanym, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast skonfigurować webhook_secret dla adaptera MAX oraz zaktualizować cc-connect do najnowszej wersji, jeśli dostępna. Dodatkowo ograniczyć dostęp do portu 8080 tylko do zaufanych źródeł.
Inne podatności w cc-connect
Zobacz wszystkie- CVE-2026-92801Wysokie
cc-connect do wersji 1.5.0 nie egzekwuje filtrowania listy dozwolonych użytkowników w handlerze onCardAction dla wywołań zwrotnych interaktywnych kart Feishu. Atakujący mogą wywoływać polecenia agenta poprzez akcje kart w zatwierdzonych czatach, omijając kontrolę dostępu na poziomie użytkownika, która chroni handler wiadomości tekstowych.
- CVE-2026-76761Wysokie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji shellExecCommand pliku core/engine.go komponentu Management API umożliwia zdalne wstrzyknięcie komend systemu operacyjnego poprzez argument exec. Exploit jest publicznie dostępny.
- CVE-2026-76760Wysokie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji Authenticate pliku core/webhook.go umożliwia zdalne wstrzyknięcie kodu poprzez argument exec. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
cc-connect through 1.5.0 contains a missing authentication vulnerability in the MAX platform adapter webhook mode in platform/max/max.go that accepts unauthenticated updates when no webhook_secret is configured. Remote attackers reaching the webhook listener on port 8080 can forge updates with an allowed or admin user_id to run privileged commands like /shell on the host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS