Podatności Nanobot
4 znanych podatności CVE w Nanobot, przetłumaczonych i ocenionych.
- CVE-2026-49140Średnie
Nanobot przed wersją 0.2.1 zawiera podatność na odmowę usługi w module obsługi pobierania multimediów z kanału Matrix. Uwierzytelnieni członkowie pokoju mogą wyczerpać pamięć procesu i przepustowość, wysyłając zdarzenia multimedialne z brakującymi lub nieprawidłowymi metadanymi rozmiaru.
- CVE-2026-49139Wysokie
Podatność SSRF w Nanobot przed wersją 0.2.1 w module obsługi Microsoft Teams. Zdalny atakujący może sfałszować aktywność z kontrolowaną wartością serviceUrl, co prowadzi do wycieku tokenów uwierzytelniających Bot Framework.
- CVE-2026-49138Średnie
Nanobot przed wersją 0.2.1 zawiera podatność na SSRF w narzędziu web_fetch, umożliwiającą atakującemu dostęp do wewnętrznych hostów poprzez przekierowanie URL na adres pętli zwrotnej lub prywatny. Atak wykorzystuje automatyczne podążanie za przekierowaniami HTTP w bibliotece httpx.
- CVE-2026-35589Wysokie
nanobot, osobisty asystent AI, w wersjach przed 0.1.5 zawiera podatność na Cross-Site WebSocket Hijacking (CSWSH) w serwerze WebSocket mostu. Serwer nie sprawdza nagłówka Origin podczas uzgadniania WebSocket, a uwierzytelnianie tokenem jest domyślnie wyłączone. Każda strona internetowa odwiedzona przez użytkownika uruchamiającego most może nawiązać połączenie WebSocket i uzyskać pełny dostęp do API mostu, co pozwala na przejęcie sesji WhatsApp, odczytywanie wiadomości, kradzież kodów QR uwierzytelniania i wysyłanie wiadomości w imieniu użytkownika.