CVE-2026-15557

WysokieCVSS 7.3

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W bibliotece waooAI waoowaoo do wersji 0.4.1 wykryto słabość polegającą na nieprawidłowym uwierzytelnianiu w funkcjach getInternalTaskSession, getAuthSession, requireUserAuth, requireProjectAuth i requireProjectAuthLight w pliku src/lib/api-auth.ts. Manipulacja argumentem x-internal-user-id w żądaniu umożliwia zdalne obejście uwierzytelniania. Exploit został opublikowany i może być wykorzystany w atakach.

Ocena ryzyka

Organizacja narażona jest na zdalne przejęcie kontroli nad sesjami wewnętrznymi i projektami bez poprawnego uwierzytelnienia, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji systemu.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę waooAI waoowaoo do wersji powyżej 0.4.1 lub zastosować tymczasowe zabezpieczenie polegające na walidacji nagłówka x-internal-user-id po stronie serwera.

Inne podatności w waooAI waoowaoo

CVE-2026-15594Niskie
W bibliotece waooAI waoowaoo do wersji 0.4.1 wykryto podatność w funkcji stablePublicIdFromStorageKey komponentu Media Handler. Manipulacja argumentem storageKey prowadzi do nieprawidłowej autoryzacji, co umożliwia zdalny atak o wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in waooAI waoowaoo up to 0.4.1. Affected by this vulnerability is the function getInternalTaskSession/getAuthSession/requireUserAuth/requireProjectAuth/requireProjectAuthLight in the library src/lib/api-auth.ts of the component Internal Task Header Handler. This manipulation of the argument x-internal-user-id request causes improper authentication. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.