CVE-2026-112014mediumCWE-321

CVE-2026-112014: falha de média gravidade em netease-youdao LobsterAI

LobsterAI before 2026.10.16 Hardcoded Password in Provider API Key Export

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar LobsterAI

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.8epss 0.1%
LobsterAI before 2026.10.16 contains a hardcoded password vulnerability that allows attackers to decrypt exported provider API keys encrypted with the constant 'lobsterai-APP'. Attackers who obtain a providers export file can derive the AES-GCM key via PBKDF2 using the embedded salt and recover every third-party AI provider API key.
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
netease-youdao · LobsterAI
CVEs relacionadas — netease-youdao LobsterAI

No mesmo produto, das mais perigosas para as menos.

CVE-2026-90818MEDIUMnetease-youdao LobsterAI Browser Network Configuration openclawConfigSync.ts OpenClawConfigSync.buildBrowserConfig server-side request forgeryEPSS 0.5%CVE-2026-18995MEDIUMnetease-youdao LobsterAI MEDIA Path artifactParser.ts parseMediaTokensFromText information disclosureEPSS 0.5%CVE-2026-108156MEDIUMLobsterAI 2026.5.27 through 2026.9.23 Arbitrary Directory Deletion via Skill _meta.jsonEPSS 0.2%