CVE-2026-82640

ŚrednieCVSS 5.5

Opublikowano: 30/08/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 30/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.06%

Percentyl 0 - wyżej niż 0% wszystkich znanych CVE

Streszczenie

W przeglądarce browser-use web-ui w wersjach od 2.0.0 do 3.0.0 klucze API LLM są zapisywane na dysku w postaci zwykłego tekstu, bez szyfrowania i ograniczeń dostępu. Atakujący z dostępem do katalogu ustawień tymczasowych może odzyskać klucze dostawcy z plików JSON o przewidywalnych nazwach.

Ocena ryzyka

Ryzyko kradzieży kluczy API, co może prowadzić do nieautoryzowanego użycia usług LLM i poniesienia kosztów.

Rekomendacja

Przechowuj klucze API w bezpiecznym magazynie (np. menedżerze sekretów) i ogranicz dostęp do katalogów tymczasowych.

Inne podatności w browser-use web-ui

CVE-2026-82637Średnie
W przeglądarce browser-use web-ui w wersjach od 2.0.0 do 3.0.0 nie są weryfikowane ścieżki ustawień przeglądarki w funkcji run_agent_task, co pozwala atakującym tworzyć katalogi w dowolnych lokalizacjach poprzez podanie ścieżek bezwzględnych do parametrów save_recording_path, save_trace_path, save_agent_history_path lub save_download_path. Atak można przeprowadzić przez nieuwierzytelniony interfejs Gradio, tworząc katalogi w miejscach, do których kontener działający jako root ma dostęp zapisu.

Oryginalny opis (angielski, źródło NVD)

browser-use web-ui versions 2.0.0 through 3.0.0 write configured LLM API keys to disk in cleartext without encryption or access restrictions. Attackers with read access to the temporary settings directory can recover provider API keys from predictably-named JSON files.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS