CVE-2026-90818
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Wykryto podatność w netease-youdao LobsterAI (wersje 2026.6.15, 2026.8.28, 2026.9.3, 2026.9.4) w funkcji OpenClawConfigSync.buildBrowserConfig, która prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych zasobów, co może prowadzić do ujawnienia danych lub dalszych ataków.
Rekomendacja
Zastosuj poprawki od producenta lub ogranicz dostęp do komponentu, jeśli to możliwe. Monitoruj aktywność sieciową pod kątem podejrzanych żądań.
Inne podatności w LobsterAI
Zobacz wszystkie- CVE-2026-108156Wysokie
LobsterAI w wersjach od 2026.5.27 do 2026.9.23 zawiera podatność external control of file path w handlerze IPC skills:delete, który ufa wartości openclawSourceDir z pliku _meta.json skilla podczas odinstalowywania. Atakujący może nakłonić użytkownika do instalacji spreparowanego skilla, co przy odinstalowaniu spowoduje rekurencyjne usunięcie dowolnych katalogów zapisywalnych przez użytkownika, np. katalogu domowego.
- CVE-2026-18995Średnie
Wykryto podatność w netease-youdao LobsterAI 2026.6.10, dotyczącą funkcji parseMediaTokensFromText w pliku src/renderer/services/artifactParser.ts w komponencie MEDIA Path Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in netease-youdao LobsterAI 2026.6.15/2026.8.28/2026.9.3/2026.9.4. Impacted is the function OpenClawConfigSync.buildBrowserConfig of the file src/main/libs/openclawConfigSync.ts of the component Browser Network Configuration. The manipulation results in server-side request forgery. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The reported GitHub issue was closed automatically due to inactivity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS