9.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
xiaobei through 5.5.2 fails to implement authentication or signature validation on webhook endpoints, allowing unauthenticated attackers to inject arbitrary messages into the agent pipeline. Attackers can publish malicious messages via the /webhook_worktool handler and exploit unvalidated media URL fetching to perform server-side request forgery against internal services.
Засегнати продукти
- TeamWiseFlow xiaobei: до 5.5.2
Вид слабост
История
- 4 септември 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-85667
- https://nvd.nist.gov/vuln/detail/CVE-2026-85667
- https://github.com/TeamWiseFlow/xiaobei/issues/440
- https://github.com/TeamWiseFlow/xiaobei
- https://github.com/TeamWiseFlow/xiaobei/blob/v5.5.2/awada/awada-server/src/routes/webhook-worktool.ts
- https://www.vulncheck.com/advisories/xiaobei-through-5.5.2-unauthenticated-webhook-message-injection