PT-2026-40104 · Junoclaw · Junoclaw

CVE-2026-43992 · Publicado 2026-05-12 · Atualizado 2026-05-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas JunoClaw versões anteriores a 0.x.y-security-1

Descrição Cada ferramenta de escrita MCP, incluindo send tokens(), execute contract(), instantiate contract(), upload wasm() e ibc transfer(), aceitava mnemonic como um parâmetro explícito de chamada de ferramenta. Isso fazia com que a semente BIP-39 (uma forma padronizada de gerar chaves determinísticas a partir de uma frase mnemônica) fosse incorporada ao JSON de chamada de ferramenta do LLM, expondo-a a superfícies de transporte, log ou telemetria entre o provedor de LLM e o processo MCP.

Recomendações Atualize para a versão 0.x.y-security-1.

Exploit

Correção

Insertion into Log File

Cleartext Storage of Sensitive Information

Insufficiently Protected Credentials

Information Disclosure

Enumeração de Fraquezas

CWE-532

CWE-312

CWE-522

CWE-200

Identificadores relacionados

CVE-2026-43992

GHSA-J75Q-8XVM-6C48

Produtos afetados

Junoclaw

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/43xxx/CVE-2026-43992.json · Exploit
• https://github.com/Dragonmonk111/junoclaw/security/advisories/GHSA-j75q-8xvm-6c48 · Nota
• https://github.com/Dragonmonk111/junoclaw/releases/tag/v0.x.y-security-1 · Nota
• https://github.com/Dragonmonk111/junoclaw/commit/339701e · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-43992 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-43992 · Aviso do Fabricante