CVE-2026-25520

W OpenHuman przed wersją 0.57.13 atakujący mogący wysyłać wiadomości do skonfigurowanego kanału zewnętrznego może zmusić agenta do utworzenia trwałych zadań cron powłoki bez zatwierdzenia przez człowieka. Walidacja poleceń pozwala też na wiodące przypisania zmiennych środowiskowych przekierowujące dozwolone polecenia do pomocniczych programów wykonywalnych.

W OpenHuman przed wersją 0.57.13 wiadomość bezpośrednia odebrana przez kanał Yuanbao jest przekształcana w żądanie AgentTurnRequest bez kontekstu interaktywnego zatwierdzenia. ApprovalGate traktuje brak APPROVAL_CHAT_CONTEXT jako turę nieinteraktywną i zezwala na wykonanie node_exec, mimo że domyślna polityka Supervised wymaga zatwierdzenia.

Cocos AI w wersji 0.8.2 i wcześniejszych akceptuje dowody atestacji środowiska zaufanego wykonania (TEE), gdy poziomy poprawek firmware i pomiary oprogramowania są zgodne, bez powiązania dowodów z dozwolonym właścicielem platformy lub unikalną tożsamością maszyny oraz bez wymuszania unieważnienia. Zdalny atakujący kontrolujący inną platformę zaufaną przez tego samego weryfikatora może podstawić ważne dowody z tej platformy i spowodować autoryzację niewłaściwej platformy. Podatność naprawiono w wersji 0.9.0, ale nie da się jej w pełni załatać wyłącznie w kodzie źródłowym, ponieważ wynika z samego modelu zagrożeń obliczeń poufnych.

W Apache OFBiz 24.09 przed 24.09.08 wykryto podatność Code Injection. Zdalny nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze poprzez przygotowanie złośliwego XML widgetu w uploadzie multipart i nadpisanie mainDecoratorLocation, co prowadzi do oceny niesandboxowanego wyrażenia Groovy.

Obejście uwierzytelniania przez powtórzenie przechwyconego klucza w ExternalLoginKeysManager w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu atakującemu, który przechwyci aktywny externalLoginKey, na uzyskanie pełnej sesji jako użytkownik, który go wydał, we wszystkich aplikacjach, ponieważ klucz jest akceptowany jako poświadczenie bearer bez powiązania z klientem, nie wygasa i nie jest unieważniany po użyciu.

W implementacji wiązania SAML HTTP-Redirect w Keycloak występuje luka polegająca na tym, że serwer przetwarza nazwy parametrów zakodowane procentowo (np. %53AMLResponse), podczas gdy logika weryfikacji podpisu sprawdza tylko literalne nazwy parametrów. Atakujący może wykorzystać tę rozbieżność, dostarczając spreparowaną, niepodpisaną wiadomość SAML, którą serwer przetwarza zamiast legalnie podpisanej, co prowadzi do pełnego przejęcia konta użytkowników sfederowanych.

Podatność Cross-site Scripting (XSS) w Apache Juneau. Serializacja dokumentów HTML nie koduje podstawień zmiennych w elementach szablonu strony (nagłówek, nawigacja, stopka itp.), więc aplikacje, które umieszczają tam dane z żądania, odzwierciedlają je bez kodowania.

Podatność HTTP Response Splitting (wstrzykiwanie CRLF w nagłówkach HTTP) w Apache Juneau. Serwer REST przekazywał wartości nagłówków odpowiedzi i cele przekierowań do kontenera serwletów bez walidacji, co przy danych z żądania mogło pozwolić na wstrzyknięcie nagłówków lub przekierowanie na dowolną witrynę.

Podatność niewystarczającej ochrony poświadczeń w Apache Juneau. Klient RestClient podążał za przekierowaniami HTTP, zachowując nagłówki poświadczeń z pierwotnego żądania, więc serwer przekierowujący na inny host, port lub z HTTPS na HTTP mógł otrzymać nagłówki Authorization, Cookie, Proxy-Authorization i X-API-Key.

Podatność ujawniania informacji wrażliwych w komunikatach błędów w Apache Juneau. Serwer REST wysyła klientom klasę i treść wewnętrznego wyjątku w nagłówku odpowiedzi "Thrown" przy każdym błędzie oraz może umieszczać wewnętrzne komunikaty wyjątków w treści błędu, nawet przy wyłączonym renderowaniu stosu.