CVE-2026-16123
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W GoClaw do wersji 3.13.2 brakuje autoryzacji w funkcji ToolsInvokeHandler.ServeHTTP w pliku internal/http/tools_invoke.go. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Osoba atakująca może zdalnie wykonywać nieautoryzowane operacje przez endpoint Invoke, co może prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Zaktualizuj GoClaw do najnowszej wersji, która zawiera poprawkę dla tego problemu. Ogranicz dostęp do endpointu Invoke tylko dla zaufanych sieci.
Inne podatności w GoClaw
Zobacz wszystkie- CVE-2026-18038Średnie
W GoClaw do wersji 3.13.2, w funkcji ExecTool.Execute w pliku goclaw/internal/http/tools_invoke.go, komponent jq Handler jest podatny na ujawnienie informacji poprzez manipulację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany. Łatka nosi nazwę 1230.
- CVE-2026-16199Średnie
W bibliotece GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcji ExecTool.Execute pliku goclaw/internal/tools/credentialed_exec.go. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-16124Średnie
Wykryto podatność w GoClaw do wersji 3.15.0-beta.32, która pozwala na atak SSRF poprzez funkcję CheckSSRF/isPrivateIP w pliku internal/tools/web_shared.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-16122Średnie
W bibliotece GoClaw do wersji 3.13.2 wykryto lukę w funkcji extractBin/RequestApproval/matchesAllowlist w pliku internal/tools/exec_approval.go, która prowadzi do nieprawidłowej autoryzacji. Publicznie udostępniono exploit, co umożliwia ataki.
- CVE-2026-16121Średnie
W bibliotece GoClaw do wersji 3.13.2 wykryto podatność w funkcji isSafeBin pliku internal/tools/exec_approval.go. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-16120Średnie
W bibliotece GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcjach matchesAllowlist/extractBin pliku internal/tools/exec_approval.go. Manipulacja danymi wejściowymi może prowadzić do nieprawidłowego rozpoznania nazwy, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-16119Średnie
W komponencie WebSocket Approval Endpoint w GoClaw do wersji 3.13.2 wykryto podatność polegającą na nieprawidłowej autoryzacji w funkcji RequestApproval. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15627Średnie
W produkcie nextlevelbuilder GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcji handleNavigate pliku pkg/browser/tool.go. Manipulacja argumentem args.targetUrl prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15626Średnie
W produkcie GoClaw 3.13.3-beta.3 firmy nextlevelbuilder wykryto podatność na path traversal w funkcji writeFile pliku internal/providers/acp/tool_bridge.go komponentu ACP ToolBridge Workspace Handler. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15625Średnie
W GoClaw 3.11.3 znaleziono podatność w funkcji ExecApprovalManager.CheckCommand w pliku internal/tools/exec_approval.go. Manipulacja prowadzi do niekompletnej czarnej listy, co umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in nextlevelbuilder GoClaw up to 3.13.2. Affected by this issue is the function ToolsInvokeHandler.ServeHTTP of the file internal/http/tools_invoke.go of the component Invoke Endpoint. This manipulation causes missing authorization. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS