Apa yang terjadi
DashboardServer milik Network-AI menerima upgrade WebSocket tanpa validasi Origin atau token, memungkinkan pembajakan WebSocket lintas situs. Halaman yang dikunjungi korban dapat terhubung ke soket dasbor loopback dan mengeksfiltrasi data topologi agen langsung — ID agen, peran, deskripsi tugas, dan anggaran token.
Mengapa penting
Telemetri orkestrasi agen adalah informasi desain yang sensitif: ini memetakan tenaga kerja agen AI yang diterapkan korban, peran dan anggaran, yang dapat digunakan penyerang untuk menargetkan agen paling istimewa atau meniru identitas agen dalam rekayasa sosial lanjutan.
Vektor serangan
handleUpgrade tidak melakukan validasi Origin atau token. Penyerang memikat korban yang menjalankan dasbor ke halaman jahat yang membuka WebSocket ke dasbor loopback dan membaca topologi agen langsung (ID, peran, deskripsi tugas, anggaran token).
Sistem yang terdampak
Network-AI (Jovancoding) 5.0.0 <= versi < 5.15.2 (DashboardServer handleUpgrade)
Mitigasi
Tingkatkan ke Network-AI 5.15.2 (GHSA-hr6v-mfxm-4438).