CVE-2026-35589
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
nanobot, osobisty asystent AI, w wersjach przed 0.1.5 zawiera podatność na Cross-Site WebSocket Hijacking (CSWSH) w serwerze WebSocket mostu. Serwer nie sprawdza nagłówka Origin podczas uzgadniania WebSocket, a uwierzytelnianie tokenem jest domyślnie wyłączone. Każda strona internetowa odwiedzona przez użytkownika uruchamiającego most może nawiązać połączenie WebSocket i uzyskać pełny dostęp do API mostu, co pozwala na przejęcie sesji WhatsApp, odczytywanie wiadomości, kradzież kodów QR uwierzytelniania i wysyłanie wiadomości w imieniu użytkownika.
Ocena ryzyka
Atakujący może przejąć kontrolę nad sesją WhatsApp użytkownika, uzyskując dostęp do prywatnych wiadomości i możliwość wysyłania wiadomości w jego imieniu, co stanowi poważne naruszenie prywatności i bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową aktualizację nanobot do wersji 0.1.5 lub nowszej, która zawiera poprawkę.
Inne podatności w nanobot
Zobacz wszystkie- CVE-2026-49140Średnie
Nanobot przed wersją 0.2.1 zawiera podatność na odmowę usługi w module obsługi pobierania multimediów z kanału Matrix. Uwierzytelnieni członkowie pokoju mogą wyczerpać pamięć procesu i przepustowość, wysyłając zdarzenia multimedialne z brakującymi lub nieprawidłowymi metadanymi rozmiaru.
- CVE-2026-49139Wysokie
Podatność SSRF w Nanobot przed wersją 0.2.1 w module obsługi Microsoft Teams. Zdalny atakujący może sfałszować aktywność z kontrolowaną wartością serviceUrl, co prowadzi do wycieku tokenów uwierzytelniających Bot Framework.
- CVE-2026-49138Średnie
Nanobot przed wersją 0.2.1 zawiera podatność na SSRF w narzędziu web_fetch, umożliwiającą atakującemu dostęp do wewnętrznych hostów poprzez przekierowanie URL na adres pętli zwrotnej lub prywatny. Atak wykorzystuje automatyczne podążanie za przekierowaniami HTTP w bibliotece httpx.
Oryginalny opis (angielski, źródło NVD)
nanobot is a personal AI assistant. Versions prior to 0.1.5 contain a Cross-Site WebSocket Hijacking (CSWSH) vulnerability exists in the bridge's WebSocket server in bridge/src/server.ts, resulting from an incomplete remediation of CVE-2026-2577. The original fix changed the binding from 0.0.0.0 to 127.0.0.1 and added an optional BRIDGE_TOKEN parameter, but token authentication is disabled by default and the server does not validate the Origin header during the WebSocket handshake. Because browsers do not enforce the Same-Origin Policy on WebSockets unless the server explicitly denies cross-origin connections, any website visited by a user running the bridge can establish a WebSocket connection to ws://127.0.0.1:3001/ and gain full access to the bridge API. This allows an attacker to hijack the WhatsApp session, read incoming messages, steal authentication QR codes, and send messages on behalf of the user. This issue has bee fixed in version 0.1.5.