CVE-2026-85667
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.4%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 4 Eylül 2026
xiaobei 5.5.2 ve önceki sürümlerinde, webhook uç noktalarında kimlik doğrulaması veya imza doğrulaması uygulanmadığından, kimlik doğrulaması yapılmamış saldırganların ajan pipeline'ına keyfi mesajlar enjekte etmelerine izin verir. Saldırganlar, /webhook_worktool işleyicisi aracılığıyla kötü amaçlı mesajlar yayınlamak ve doğrulanmamış medya URL çekmesini sömürebilmek suretiyle dahili hizmetlere karşı sunucu tarafı istek sahtekarlığı gerçekleştirebilirler.
Orijinal açıklama (İngilizce)
xiaobei through 5.5.2 fails to implement authentication or signature validation on webhook endpoints, allowing unauthenticated attackers to inject arbitrary messages into the agent pipeline. Attackers can publish malicious messages via the /webhook_worktool handler and exploit unvalidated media URL fetching to perform server-side request forgery against internal services.
Referanslar
- https://github.com/TeamWiseFlow/xiaobei
- https://github.com/TeamWiseFlow/xiaobei/blob/v5.5.2/awada/awada-server/src/routes/webhook-worktool.ts
- https://github.com/TeamWiseFlow/xiaobei/issues/440
- https://www.vulncheck.com/advisories/xiaobei-through-5.5.2-unauthenticated-webhook-message-injection
- https://github.com/TeamWiseFlow/xiaobei/issues/440
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.