CVE-2026-16127
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W projekcie zevorn rt-claw do wersji 0.2.0 wykryto podatność w funkcjach claw_net_get i claw_net_post w pliku claw/tools/tool_net.c. Manipulacja argumentem url prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na ryzyko wykonania nieautoryzowanych żądań sieciowych z serwera, co może prowadzić do dostępu do wewnętrznych zasobów, wycieku danych lub dalszej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę rt-claw do najnowszej dostępnej wersji lub zastosować obejście, takie jak walidacja i sanityzacja argumentu url w kodzie aplikacji.
Inne podatności w rt-claw
Zobacz wszystkie- CVE-2026-16200Wysokie
W projekcie zevorn rt-claw do wersji 0.2.0 wykryto podatność w funkcji claw_tool_invoke w pliku claw/services/swarm/swarm.c. Błąd w obsłudze RPC prowadzi do nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie bez odpowiednich uprawnień. Publicznie udostępniono exploit, a projekt nie odpowiedział na zgłoszenie problemu.
- CVE-2026-16125Wysokie
W bibliotece rt-claw do wersji 0.2.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcjach claw_net_get i claw_net_post. Problem występuje w pliku claw/services/tools/net.c, gdzie argument url może być manipulowany przez atakującego. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in zevorn rt-claw up to 0.2.0. This affects the function claw_net_get/claw_net_post of the file claw/tools/tool_net.c of the component http_request. Such manipulation of the argument url leads to server-side request forgery. The attack may be performed from remote. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.