Podatności mosaxiv clawlet

W mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa w funkcji list/remove w pliku tools/tool_cron.go komponentu cron Chat Tool. Brak autoryzacji umożliwia zdalne manipulowanie danymi. Exploit został opublikowany, a zgłoszony problem na GitHub zamknięto jako „nieplanowany”.

W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.

W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.