CVE-2026-90579

WysokieCVSS 7.3

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

W cheshire-cat-ai Cheshire Cat AI do wersji 1.9.2 wykryto podatność w funkcji _authorize_http_key w pliku core/cat/factory/custom_auth_handler.py. Manipulacja argumentem user_id prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty.

Ocena ryzyka

Brak uwierzytelnienia pozwala atakującemu na nieautoryzowany dostęp do chronionych zasobów, co może skutkować przejęciem kontroli lub wyciekiem danych.

Rekomendacja

Zaktualizuj Cheshire Cat AI do wersji nowszej niż 1.9.2, gdy tylko poprawka będzie dostępna, lub zastosuj środki zaradcze do czasu wydania aktualizacji.

Inne podatności w Cheshire Cat AI

CVE-2026-85093Średnie
W Cheshire Cat AI punkt końcowy GET /memory/collections/{collection_id}/points nie stosuje filtrowania per użytkownik podczas pobierania epizodycznych punktów pamięci. Uwierzytelnieni atakujący z uprawnieniem MEMORY:READ mogą pobrać wszystkie przechowywane wiadomości rozmów i dane osobowe wszystkich użytkowników, przeglądając kolekcję za pomocą kursora przesunięcia.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in cheshire-cat-ai Cheshire Cat AI up to 1.9.2. This affects the function _authorize_http_key of the file core/cat/factory/custom_auth_handler.py. The manipulation of the argument user_id leads to missing authentication. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS