CVE-2026-18995
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wykryto podatność w netease-youdao LobsterAI 2026.6.10, dotyczącą funkcji parseMediaTokensFromText w pliku src/renderer/services/artifactParser.ts w komponencie MEDIA Path Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji, co może prowadzić do wycieku danych lub naruszenia prywatności użytkowników.
Rekomendacja
Zaktualizuj LobsterAI do najnowszej wersji z poprawką. Ogranicz dostęp do funkcji parseMediaTokensFromText i monitoruj logi pod kątem nietypowych żądań.
Inne podatności w LobsterAI
Zobacz wszystkie- CVE-2026-108156Wysokie
LobsterAI w wersjach od 2026.5.27 do 2026.9.23 zawiera podatność external control of file path w handlerze IPC skills:delete, który ufa wartości openclawSourceDir z pliku _meta.json skilla podczas odinstalowywania. Atakujący może nakłonić użytkownika do instalacji spreparowanego skilla, co przy odinstalowaniu spowoduje rekurencyjne usunięcie dowolnych katalogów zapisywalnych przez użytkownika, np. katalogu domowego.
- CVE-2026-90818Średnie
Wykryto podatność w netease-youdao LobsterAI (wersje 2026.6.15, 2026.8.28, 2026.9.3, 2026.9.4) w funkcji OpenClawConfigSync.buildBrowserConfig, która prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in netease-youdao LobsterAI 2026.6.10. This affects the function parseMediaTokensFromText of the file src/renderer/services/artifactParser.ts of the component MEDIA Path Handler. This manipulation causes information disclosure. The attack is possible to be carried out remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS