CVE-2026-92801
WysokieCVSS 8.8Streszczenie
cc-connect do wersji 1.5.0 nie egzekwuje filtrowania listy dozwolonych użytkowników w handlerze onCardAction dla wywołań zwrotnych interaktywnych kart Feishu. Atakujący mogą wywoływać polecenia agenta poprzez akcje kart w zatwierdzonych czatach, omijając kontrolę dostępu na poziomie użytkownika, która chroni handler wiadomości tekstowych.
Ocena ryzyka
Umożliwia to nieautoryzowanym użytkownikom wykonywanie poleceń agenta, co może prowadzić do niepożądanych działań i naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaktualizuj cc-connect do wersji nowszej niż 1.5.0. Upewnij się, że kontrola dostępu jest spójnie stosowana we wszystkich handlerach, w tym dla akcji kart.
Inne podatności w cc-connect
Zobacz wszystkie- CVE-2026-76761Wysokie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji shellExecCommand pliku core/engine.go komponentu Management API umożliwia zdalne wstrzyknięcie komend systemu operacyjnego poprzez argument exec. Exploit jest publicznie dostępny.
- CVE-2026-76760Wysokie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji Authenticate pliku core/webhook.go umożliwia zdalne wstrzyknięcie kodu poprzez argument exec. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
cc-connect through 1.5.0 fails to enforce per-user allowlist filtering in the onCardAction handler for Feishu interactive card callbacks. Attackers can dispatch agent commands by triggering card actions in admitted chats, bypassing the per-user access controls that protect the text message handler.