CVE-2026-16015

ŚrednieCVSS 6.3

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

W bibliotece poco-ai poco-claw do wersji 0.5.4 wykryto podatność polegającą na braku uwierzytelnienia w funkcji create_task pliku executor_manager/app/api/v1/tasks.py. Atakujący może wykorzystać tę lukę bez autoryzacji, a exploit został już publicznie udostępniony.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego tworzenia zadań przez atakującego, co może prowadzić do naruszenia integralności systemu i potencjalnego przejęcia kontroli nad aplikacją.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki poco-ai poco-claw do wersji 0.5.7 lub nowszej, która zawiera poprawkę oznaczoną jako 67fcc88505c57f77d3fcf04eb5b89425b10cbf48.

Inne podatności w poco-ai poco-claw

CVE-2026-16016Wysokie
W bibliotece poco-ai poco-claw do wersji 0.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji run_task pliku executor/app/api/v1/task.py, gdzie argument callback_url może być manipulowany przez atakującego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in poco-ai poco-claw up to 0.5.4. This vulnerability affects the function create_task of the file executor_manager/app/api/v1/tasks.py of the component executor_manager API. Executing a manipulation can lead to missing authentication. The exploit has been publicly disclosed and may be utilized. Upgrading to version 0.5.7 is able to resolve this issue. This patch is called 67fcc88505c57f77d3fcf04eb5b89425b10cbf48. It is recommended to upgrade the affected component.