CVE-2026-16017
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa w funkcji list/remove w pliku tools/tool_cron.go komponentu cron Chat Tool. Brak autoryzacji umożliwia zdalne manipulowanie danymi. Exploit został opublikowany, a zgłoszony problem na GitHub zamknięto jako „nieplanowany”.
Ocena ryzyka
Organizacja narażona jest na zdalne nieautoryzowane operacje na cron Chat Tool, co może prowadzić do naruszenia integralności danych i potencjalnego przejęcia kontroli nad harmonogramem zadań.
Rekomendacja
Należy natychmiast zaktualizować mosaxiv clawlet do wersji powyżej 0.2.10 lub zastosować tymczasowe zabezpieczenia, takie jak ograniczenie dostępu sieciowego do komponentu cron Chat Tool.
Inne podatności w mosaxiv clawlet
Zobacz wszystkie- CVE-2026-15621Średnie
W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.
- CVE-2026-15620Średnie
W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15619Średnie
W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15618Średnie
W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in mosaxiv clawlet up to 0.2.10. Impacted is the function list/remove of the file tools/tool_cron.go of the component cron Chat Tool. The manipulation results in missing authorization. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks. The reported GitHub issue was closed with the label "not planned".