Към съдържанието
Търсене

CVE-2026-66005: janhq jan, логическа грешка

6.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Jan through 0.8.4, fixed in commit 3e1c1e7, contains a CORS misconfiguration vulnerability in its local API server that allows network-adjacent attackers to bypass trusted host restrictions by exploiting the server's replacement of user-configured trusted hosts with a wildcard that reflects arbitrary origins with credentials. Attackers on the local network or using DNS rebinding can reach the unauthenticated OpenAI-compatible API to perform inference, enumerate models, invoke MCP tools, and read cross-origin responses.

Засегнати продукти

  • janhq jan: до 0.8.4; 3e1c1e724f696620d89bb4a9cc18a380e0753757

Вид слабост

История

  • 24 юли 2026 Публикувано

Други уязвимости в janhq jan

Първоизточници

CVE-2026-66005: janhq jan, логическа грешка | freedomonline.bg