CVE-2026-15624
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W GoClaw 3.13.3-beta.3 znaleziono podatność w funkcji bytePlusDownloadVideo pliku internal/tools/create_video_byteplus.go. Manipulacja argumentem output.video_url prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
Ocena ryzyka
Organizacja narażona jest na ryzyko wykonania nieautoryzowanych żądań sieciowych z serwera, co może umożliwić atakującemu dostęp do wewnętrznych zasobów, skanowanie sieci lub eskalację ataku na inne systemy.
Rekomendacja
Należy natychmiast zaktualizować GoClaw do najnowszej wersji poza 3.13.3-beta.3 oraz zastosować walidację i filtrowanie argumentu output.video_url, aby zapobiec manipulacji.
Inne podatności w GoClaw
Zobacz wszystkie- CVE-2026-18038Średnie
W GoClaw do wersji 3.13.2, w funkcji ExecTool.Execute w pliku goclaw/internal/http/tools_invoke.go, komponent jq Handler jest podatny na ujawnienie informacji poprzez manipulację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany. Łatka nosi nazwę 1230.
- CVE-2026-16199Średnie
W bibliotece GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcji ExecTool.Execute pliku goclaw/internal/tools/credentialed_exec.go. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-16124Średnie
Wykryto podatność w GoClaw do wersji 3.15.0-beta.32, która pozwala na atak SSRF poprzez funkcję CheckSSRF/isPrivateIP w pliku internal/tools/web_shared.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-16123Średnie
W GoClaw do wersji 3.13.2 brakuje autoryzacji w funkcji ToolsInvokeHandler.ServeHTTP w pliku internal/http/tools_invoke.go. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16122Średnie
W bibliotece GoClaw do wersji 3.13.2 wykryto lukę w funkcji extractBin/RequestApproval/matchesAllowlist w pliku internal/tools/exec_approval.go, która prowadzi do nieprawidłowej autoryzacji. Publicznie udostępniono exploit, co umożliwia ataki.
- CVE-2026-16121Średnie
W bibliotece GoClaw do wersji 3.13.2 wykryto podatność w funkcji isSafeBin pliku internal/tools/exec_approval.go. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-16120Średnie
W bibliotece GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcjach matchesAllowlist/extractBin pliku internal/tools/exec_approval.go. Manipulacja danymi wejściowymi może prowadzić do nieprawidłowego rozpoznania nazwy, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-16119Średnie
W komponencie WebSocket Approval Endpoint w GoClaw do wersji 3.13.2 wykryto podatność polegającą na nieprawidłowej autoryzacji w funkcji RequestApproval. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15627Średnie
W produkcie nextlevelbuilder GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcji handleNavigate pliku pkg/browser/tool.go. Manipulacja argumentem args.targetUrl prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15626Średnie
W produkcie GoClaw 3.13.3-beta.3 firmy nextlevelbuilder wykryto podatność na path traversal w funkcji writeFile pliku internal/providers/acp/tool_bridge.go komponentu ACP ToolBridge Workspace Handler. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in nextlevelbuilder GoClaw 3.13.3-beta.3. Affected by this vulnerability is the function bytePlusDownloadVideo of the file internal/tools/create_video_byteplus.go of the component invoke Endpoint. The manipulation of the argument output.video_url leads to server-side request forgery. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used.