PT-2026-45561 · Hkuds+1 · Nanobot

CVE-2026-49139 · Publicado 2026-06-01 · Atualizado 2026-07-22

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.0

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Nanobot versões anteriores a 0.2.1

Description Um problema de server-side request forgery (SSRF) existe no manipulador de canal do Microsoft Teams. Isso ocorre quando um invasor remoto fornece uma atividade forjada contendo um valor serviceUrl malicioso. Ao enviar uma atividade de entrada manipulada para o webhook do Teams, um invasor pode envenenar a referência de conversa armazenada. Consequentemente, as respostas subsequentes do bot enviarão solicitações de cabeçalho de Autorização contendo tokens de portador do Bot Framework para um host controlado pelo invasor.

Recommendations Atualize o Nanobot para a versão 0.2.1 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-49139

Produtos afetados

Nanobot

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/49xxx/CVE-2026-49139.json · Exploit
• https://github.com/HKUDS/nanobot/releases/tag/v0.2.1 · Nota
• https://github.com/HKUDS/nanobot · Nota
• https://github.com/HKUDS/nanobot/commit/232df45126bcf0f8fccd123d73714f202c8e8612 · Correção
• https://github.com/HKUDS/nanobot/pull/4047 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-49139 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-49139 · Aviso do Fabricante
• https://t.me/cveNotify/211649 · Publicação no Telegram
• https://vulncheck.com/advisories/nanobot-ssrf-via-microsoft-teams-channel-serviceurl-poisoning · Nota