CVE-2026-15620
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wewnętrznych zasobów sieciowych oraz potencjalne przecieki danych, ponieważ atakujący może wysyłać żądania w imieniu serwera.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę mosaxiv clawlet do wersji nowszej niż 0.2.10 lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie adresów URL i ograniczenie dostępu do funkcji webFetch.
Inne podatności w mosaxiv clawlet
Zobacz wszystkie- CVE-2026-16017Średnie
W mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa w funkcji list/remove w pliku tools/tool_cron.go komponentu cron Chat Tool. Brak autoryzacji umożliwia zdalne manipulowanie danymi. Exploit został opublikowany, a zgłoszony problem na GitHub zamknięto jako „nieplanowany”.
- CVE-2026-15621Średnie
W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.
- CVE-2026-15619Średnie
W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15618Średnie
W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in mosaxiv clawlet up to 0.2.10. This affects the function tools.webFetch of the file tools/tool_web_fetch.go. Such manipulation leads to server-side request forgery. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The reported GitHub issue was closed with the label "not planned".
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS