CVE-2026-15619
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wewnętrznych systemów i danych, co może prowadzić do eskalacji uprawnień lub wycieku informacji. Ponieważ exploit jest publicznie dostępny, ryzyko aktywnego wykorzystania podatności jest wysokie.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę mosaxiv clawlet do wersji nowszej niż 0.2.10, jeśli taka istnieje, lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie adresów URL i ograniczenie dostępu do funkcji web_fetch. Ze względu na zamknięcie zgłoszenia z etykietą 'nieplanowane', rozważ migrację do alternatywnego rozwiązania.
Inne podatności w mosaxiv clawlet
Zobacz wszystkie- CVE-2026-16017Średnie
W mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa w funkcji list/remove w pliku tools/tool_cron.go komponentu cron Chat Tool. Brak autoryzacji umożliwia zdalne manipulowanie danymi. Exploit został opublikowany, a zgłoszony problem na GitHub zamknięto jako „nieplanowany”.
- CVE-2026-15621Średnie
W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.
- CVE-2026-15620Średnie
W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15618Średnie
W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in mosaxiv clawlet up to 0.2.10. The impacted element is the function web_fetch of the file tools/tool_web_fetch.go of the component IPv4 Handler. This manipulation of the argument url causes server-side request forgery. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The reported GitHub issue was closed with the label "not planned".