Podatności LobsterAI
3 znanych podatności CVE w LobsterAI, przetłumaczonych i ocenionych.
- CVE-2026-108156Wysokie
LobsterAI w wersjach od 2026.5.27 do 2026.9.23 zawiera podatność external control of file path w handlerze IPC skills:delete, który ufa wartości openclawSourceDir z pliku _meta.json skilla podczas odinstalowywania. Atakujący może nakłonić użytkownika do instalacji spreparowanego skilla, co przy odinstalowaniu spowoduje rekurencyjne usunięcie dowolnych katalogów zapisywalnych przez użytkownika, np. katalogu domowego.
- CVE-2026-90818Średnie
Wykryto podatność w netease-youdao LobsterAI (wersje 2026.6.15, 2026.8.28, 2026.9.3, 2026.9.4) w funkcji OpenClawConfigSync.buildBrowserConfig, która prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-18995Średnie
Wykryto podatność w netease-youdao LobsterAI 2026.6.10, dotyczącą funkcji parseMediaTokensFromText w pliku src/renderer/services/artifactParser.ts w komponencie MEDIA Path Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS