事件经过
Network-AI的DashboardServer接受WebSocket升级时无Origin或令牌校验，导致跨站WebSocket劫持。受害者访问的页面可连接到回环仪表板套接字，并窃取实时代理拓扑数据——代理ID、角色、任务描述和令牌预算。
影响分析
代理编排遥测是敏感的设计信息：它描绘了受害者的已部署AI代理工作力量、角色和预算，攻击者可利用这些信息针对权限最高的代理发起攻击，或在后续社会工程攻击中冒充代理身份。
攻击途径
handleUpgrade不执行Origin或令牌校验。攻击者引诱运行仪表板的受害者访问恶意页面，该页面打开到回环仪表板的WebSocket并读取实时代理拓扑（ID、角色、任务描述、令牌预算）。
受影响系统
Network-AI (Jovancoding) 5.0.0 <= 版本 < 5.15.2（DashboardServer handleUpgrade）
缓解措施
升级到Network-AI 5.15.2（GHSA-hr6v-mfxm-4438）。