Hinotoi-Agent

Nanobot prior to version 0.2.1 contains a denial of service vulnerability in the Matrix channel media download handler that allows authenticated room members to exhaust process memory and bandwidth by sending media events with missing or invalid size metadata. Attackers can send multiple concurrent Matrix media events with omitted or invalid declared sizes to trigger simultaneous large media downloads that fully materialize response bodies before post-download rejection, consuming process resources until service degradation occurs.

CodexBar prior to 0.32.0 contains an insecure temporary file handling vulnerability that allows local attackers to access sensitive credentials or tamper with build artifacts by exploiting predictable file paths in the release notarization workflow. Attackers with access to the same host can read the App Store Connect API key written to a fixed path, pre-create files or symbolic links at predictable locations to redirect writes to attacker-controlled destinations, or tamper with notarization archives before submission.

CodexBar prior to 0.32.0 contains a session cookie leakage vulnerability that allows network attackers to intercept imported browser session cookies by exploiting improper redirect handling for Amp and Ollama provider sessions. Attackers can position themselves on the network path to receive cleartext HTTP requests carrying imported session cookies when a provider-controlled redirect target issues a redirect to a cleartext HTTP endpoint within the same provider domain.

**Nome do Software Vulnerável e Versões Afetadas** Summarize versões anteriores a 0.14.1 **Descrição** O software cria o diretório e o arquivo de configuração do daemon usando permissões padrão de sistema de arquivos que podem ser legíveis por qualquer usuário (world-readable) em sistemas semelhantes ao Unix. Isso permite que atacantes locais leiam o arquivo `~/.summarize/daemon.json`, que contém tokens de portador (bearer tokens) e credenciais de API de provedores persistidas. Ao explorar essas permissões permissivas, um atacante pode obter acesso não autorizado ao daemon ou recuperar chaves de API sensíveis. **Recomendações** Atualize para a versão que contém o commit 0cfb0fb.

**Nome do Software Vulnerável e Versões Afetadas** Crabbox versões anteriores a 0.9.0 **Descrição** Existe uma falha de bypass de autenticação no caminho de verificação de token de usuário do coordenador. A função `verifyUserToken()` não rejeita payloads que contenham uma reivindicação de administrador, o que permite que invasores escalem privilégios. Um invasor com acesso a um token não administrativo compartilhado pode criar um payload de token de usuário com a variável `admin` definida como `true`, assiná-lo usando HMAC-SHA256 (uma função de hash criptográfica usada para verificar a integridade dos dados) e acessar rotas do coordenador exclusivas para administradores. Isso concede acesso total de administrador ao coordenador, incluindo visibilidade de concessões, gerenciamento de estado do pool e operações de liberação forçada. **Recomendações** Atualize para a versão 0.9.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** FastGPT versões anteriores a 4.14.17 **Descrição** Existe uma lacuna inconsistente de proteção contra Server-Side Request Forgery (SSRF) no processamento de URLs de ferramentas Model Context Protocol (MCP). Embora os endpoints de visualização e execução direta rejeitem URLs de redes internas ou privadas, os endpoints utilizados para criar ou atualizar ferramentas MCP permitem o armazenamento de URLs de servidores MCP internos. Essas URLs armazenadas podem, posteriormente, ser utilizadas pelo processo de execução de fluxo de trabalho sem nova validação do destino. Um usuário autenticado com permissões para gerenciar conjuntos de ferramentas MCP pode armazenar um endpoint interno, como `http://localhost:3000/mcp`, fazendo com que o executor de fluxo de trabalho do backend se conecte a esse destino interno. **Recomendações** Atualizar para a versão 4.14.17.

**Nome do Software Vulnerável e Versões Afetadas** NanoClaw (versões afetadas não especificadas) **Descrição** Existe um problema de limite de sistema de arquivos host/container no processamento de anexos de saída e na limpeza da caixa de saída. Um container comprometido ou com injeção de prompt pode ler arquivos fora do diretório de saída pretendido ao fornecer valores `messages out.id` e `content.files` manipulados ou ao criar arquivos de caixa de saída com links simbólicos. Isso pode levar à leitura de arquivos arbitrários no lado do host e, em certos casos, à exclusão recursiva de caminhos fora do alvo de limpeza pretendido. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** radare2 versões anteriores a 6.1.4 **Descrição** Um problema de path traversal na exclusão de projetos permite que atacantes locais excluam diretórios arbitrários recursivamente. Ao fornecer caminhos absolutos que escapam do diretório raiz `dir.projects` configurado, os atacantes podem alvejar arquivos marcadores de projeto fora do limite de armazenamento de projetos. Esta ação resulta na exclusão recursiva de diretórios escolhidos usando as permissões do processo radare2, levando à perda de integridade e disponibilidade. **Recomendações** Atualize para a versão 6.1.4 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Hermes WebUI (versões afetadas não especificadas) **Description** Um problema de exclusão arbitrária de arquivos existe no endpoint '/api/session/delete'. Atacantes autenticados podem excluir arquivos fora do diretório de sessão ao fornecer um caminho absoluto ou um payload de path traversal no parâmetro `session id`. Isso ocorre porque identificadores de sessão não validados permitem a construção de caminhos que ignoram o limite do SESSION DIR, possibilitando a exclusão de arquivos JSON graváveis no sistema host. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

HKUDS OpenHarness prior to PR #156 remediation exposes plugin lifecycle commands including /plugin install, /plugin enable, /plugin disable, and /reload-plugins to remote senders by default. Attackers who gain access through the channel layer can remotely manage plugin trust and activation state, enabling unauthorized plugin installation and activation on the system.

**Name of the Vulnerable Software and Affected Versions** OpenViking versões anteriores ao commit c7bb167 **Description** Existe um bypass de autenticação na superfície de rota HTTP do VikingBot OpenAPI. O problema ocorre quando o valor de configuração `api key` não está definido ou está vazio, fazendo com que a verificação de autenticação falhe aberta. Atacantes remotos com acesso de rede ao serviço exposto podem invocar funcionalidades privilegiadas de controle do bot sem fornecer um cabeçalho 'X-API-Key' válido. Isso permite o envio de prompts controlados pelo atacante, a criação ou uso de sessões de bot e o acesso não autorizado a ferramentas downstream, integrações, segredos ou dados acessíveis ao bot. **Recommendations** Atualize o OpenViking para o commit c7bb167 ou uma versão mais recente. Certifique-se de que o valor de configuração `api key` esteja devidamente definido e não seja deixado vazio.