CVE-2026-16016

WysokieCVSS 7.3

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Streszczenie

W bibliotece poco-ai poco-claw do wersji 0.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji run_task pliku executor/app/api/v1/task.py, gdzie argument callback_url może być manipulowany przez atakującego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Ocena ryzyka

Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszej eskalacji ataku w infrastrukturze.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę poco-ai poco-claw do wersji nowszej niż 0.5.4, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak walidacja i filtrowanie adresów URL w parametrze callback_url.

Inne podatności w poco-ai poco-claw

CVE-2026-16015Średnie
W bibliotece poco-ai poco-claw do wersji 0.5.4 wykryto podatność polegającą na braku uwierzytelnienia w funkcji create_task pliku executor_manager/app/api/v1/tasks.py. Atakujący może wykorzystać tę lukę bez autoryzacji, a exploit został już publicznie udostępniony.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in poco-ai poco-claw up to 0.5.4. This issue affects the function run_task of the file executor/app/api/v1/task.py. The manipulation of the argument callback_url leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. The reported GitHub issue was closed automatically due to inactivity.