CVE-2026-55197
ŚrednieCVSS 6.5Streszczenie
Hermes WebUI w wersjach przed 0.51.443 zawiera lukę w kontroli dostępu w punkcie końcowym /api/session, która pozwala uwierzytelnionym użytkownikom na ujawnienie transkryptów sesji z innych profili. Atakujący mogą obejść kontrole granic profili, bezpośrednio zapytując o identyfikatory sesji należące do innych profili.
Ocena ryzyka
Luka ta może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji, co stwarza ryzyko naruszenia prywatności użytkowników oraz potencjalnych konsekwencji prawnych dla organizacji.
Rekomendacja
Zaleca się aktualizację Hermes WebUI do wersji 0.51.443 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa, aby zidentyfikować i naprawić inne potencjalne luki.
Oryginalny opis (angielski, źródło NVD)
Hermes WebUI before 0.51.443 contains a broken access control vulnerability in the /api/session endpoint that allows authenticated users to disclose cross-profile session transcripts. Attackers can bypass profile boundary checks by directly querying session IDs belonging to other profiles via GET /api/session?session_id=<foreign_id>&messages=1 to retrieve unauthorized conversation transcripts and metadata.