CVE-2026-90712
ŚrednieCVSS 4.3Streszczenie
Zidentyfikowano podatność w Gitlawb openclaude do wersji 0.30.0. Dotyczy funkcji waitForCallback w pliku src/services/api/xaiOAuthCallback.ts w komponencie xAI OAuth Callback Handler. Manipulacja argumentem Error prowadzi do odmowy usługi. Atak zdalny jest możliwy. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział jeszcze.
Ocena ryzyka
Atakujący może spowodować niedostępność usługi, co prowadzi do przerw w działaniu aplikacji.
Rekomendacja
Zastosuj tymczasowe środki łagodzące, takie jak ograniczenie dostępu do punktu końcowego, i monitoruj odpowiedź projektu na zgłoszenie.
Inne podatności w openclaude
Zobacz wszystkie- CVE-2026-42074Krytyczne
OpenClaude w wersjach przed 0.5.1 udostępnia parametr dangerouslyDisableSandbox w schemacie wejściowym narzędzia BashTool. Model LLM (traktowany jako niezaufany) może ustawić go na true, co w połączeniu z domyślnym allowUnsandboxedCommands: true pozwala na ominięcie sandboksowania i wykonanie dowolnego kodu na hoście.
- CVE-2026-42073Średnie
OpenClaude przed wersją 0.5.1 zawiera błąd logiczny w przepływie uwierzytelniania MCP, który pozwala atakującemu całkowicie ominąć walidację parametru state i wymusić zamknięcie serwera HTTP używanego do obsługi callbacków OAuth, bez znajomości wartości state.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Gitlawb openclaude up to 0.30.0. Impacted is the function waitForCallback of the file src/services/api/xaiOAuthCallback.ts of the component xAI OAuth Callback Handler. The manipulation of the argument Error leads to denial of service. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.