CVE-2025-69443

ŚrednieCVSS 6.3

Opublikowano: 14/05/2026(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

W coleam00 Archon 0.1.0 występuje podatność umożliwiająca zdalne wykonanie kodu (RCE). Spreparowana strona HTML, odwiedzona przez ofiarę, może wykonywać polecenia, uruchamiać prompty w imieniu użytkownika, kontrolować funkcje interfejsu Archon oraz wykradać wszystkie informacje dostępne w UI, w tym klucze API.

Ocena ryzyka

Atakujący może przejąć kontrolę nad interfejsem Archon, wykonać nieautoryzowane działania w imieniu użytkownika oraz uzyskać dostęp do wrażliwych danych, takich jak klucze API, co może prowadzić do dalszych naruszeń.

Rekomendacja

Zaktualizuj Archon do wersji zawierającej poprawkę lub wdroż środki izolacji (sandbox) dla interfejsu. Zaleca się rotację kluczy API i monitorowanie nietypowych działań w UI.

Inne podatności w Archon

CVE-2026-111322Krytyczne
Archon w wersjach od 0.2.13 do 0.11.1 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do API kontrolnego /api/*, domyślnie nasłuchującego na 0.0.0.0. Atakujący z dostępem sieciowym mogą wysyłać wiadomości do agenta AI, który działa z bypassPermissions, aby wykonać polecenia na hoście jako użytkownik Archon.

Oryginalny opis (angielski, źródło NVD)

Remote Code Execution in coleam00 Archon 0.1.0. A crafted HTML page, when accessed by a victim, can execute commands, run prompts on behalf of the user, control the Archon UI features, and steal all Archon information available on the UI including API keys.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS