PT-2026-39728 · Summarize · Summarize

Hinotoi-Agent · CVE-2026-45222 · Publicado 2026-05-11 · Atualizado 2026-05-11

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Summarize versões anteriores a 0.14.1

Descrição O software cria o diretório e o arquivo de configuração do daemon usando permissões padrão de sistema de arquivos que podem ser legíveis por qualquer usuário (world-readable) em sistemas semelhantes ao Unix. Isso permite que atacantes locais leiam o arquivo ~/.summarize/daemon.json, que contém tokens de portador (bearer tokens) e credenciais de API de provedores persistidas. Ao explorar essas permissões permissivas, um atacante pode obter acesso não autorizado ao daemon ou recuperar chaves de API sensíveis.

Recomendações Atualize para a versão que contém o commit 0cfb0fb.

Exploit

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2026-45222

GHSA-QP7V-GJGG-4MJ6

Produtos afetados

Summarize

Referências · 10

• 🔥 https://github.com/steipete/summarize/pull/214 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45222.json · Exploit
• https://github.com/steipete/summarize · Nota
• https://github.com/steipete/summarize/commit/0cfb0fb99777a87a7b02082b5e4bd449f8dd6175 · Correção
• https://github.com/steipete/summarize/releases/tag/v0.15.0 · Nota
• https://twitter.com/CVEnew/status/2053932391346139225 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-45222 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45222 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qp7v-gjgg-4mj6 · Aviso do Fabricante
• https://vulncheck.com/advisories/summarize-insecure-daemon-configuration-file-permissions · Nota