CVE-2026-112014
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
LobsterAI przed wersją 2026.10.16 zawiera podatność na wbudowane hasło, która pozwala atakującym odszyfrować wyeksportowane klucze API dostawców zaszyfrowane stałą 'lobsterai-APP'. Atakujący, który uzyska plik eksportu dostawców, może wyprowadzić klucz AES-GCM za pomocą PBKDF2 przy użyciu osadzonej soli i odzyskać wszystkie klucze API zewnętrznych dostawców AI.
Ocena ryzyka
Atakujący z dostępem do pliku eksportu może odzyskać wszystkie klucze API dostawców AI, co może prowadzić do nieautoryzowanego dostępu i kosztów po stronie ofiary.
Rekomendacja
Zaktualizuj LobsterAI do wersji 2026.10.16 lub nowszej, która naprawia tę podatność, i unieważnij wszystkie wyeksportowane klucze API.
Inne podatności w LobsterAI
Zobacz wszystkie- CVE-2026-108156Wysokie
LobsterAI w wersjach od 2026.5.27 do 2026.9.23 zawiera podatność external control of file path w handlerze IPC skills:delete, który ufa wartości openclawSourceDir z pliku _meta.json skilla podczas odinstalowywania. Atakujący może nakłonić użytkownika do instalacji spreparowanego skilla, co przy odinstalowaniu spowoduje rekurencyjne usunięcie dowolnych katalogów zapisywalnych przez użytkownika, np. katalogu domowego.
- CVE-2026-90818Średnie
Wykryto podatność w netease-youdao LobsterAI (wersje 2026.6.15, 2026.8.28, 2026.9.3, 2026.9.4) w funkcji OpenClawConfigSync.buildBrowserConfig, która prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-18995Średnie
Wykryto podatność w netease-youdao LobsterAI 2026.6.10, dotyczącą funkcji parseMediaTokensFromText w pliku src/renderer/services/artifactParser.ts w komponencie MEDIA Path Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
LobsterAI before 2026.10.16 contains a hardcoded password vulnerability that allows attackers to decrypt exported provider API keys encrypted with the constant 'lobsterai-APP'. Attackers who obtain a providers export file can derive the AES-GCM key via PBKDF2 using the embedded salt and recover every third-party AI provider API key.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS