PT-2026-39728 · Summarize · Summarize

Hinotoi-Agent · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-45222

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Summarize versões anteriores a 0.14.1

Descrição O software cria o diretório e o arquivo de configuração do daemon usando permissões padrão de sistema de arquivos que podem ser legíveis por qualquer usuário (world-readable) em sistemas semelhantes ao Unix. Isso permite que atacantes locais leiam o arquivo ~/.summarize/daemon.json, que contém tokens de portador (bearer tokens) e credenciais de API de provedores persistidas. Ao explorar essas permissões permissivas, um atacante pode obter acesso não autorizado ao daemon ou recuperar chaves de API sensíveis.

Recomendações Atualize para a versão que contém o commit 0cfb0fb.

Exploit

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2026-45222

GHSA-QP7V-GJGG-4MJ6

Produtos afetados

Summarize

Referências · 8

• 🔥 https://github.com/steipete/summarize/pull/214 · Exploit
• https://github.com/steipete/summarize · Nota
• https://github.com/steipete/summarize/releases/tag/v0.15.0 · Nota
• https://github.com/steipete/summarize/commit/0cfb0fb99777a87a7b02082b5e4bd449f8dd6175 · Correção
• https://osv.dev/vulnerability/GHSA-qp7v-gjgg-4mj6 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45222 · Nota de Segurança
• https://vulncheck.com/advisories/summarize-insecure-daemon-configuration-file-permissions · Nota
• https://twitter.com/CVEnew/status/2053932391346139225 · Publicação no Twitter