CVE-2026-86115mediumCWE-441

CVE-2026-86115: falha de média gravidade em simstudioai sim

Sim before 0.8.14 Confused Deputy in Tool URL Routing Mints an Internal Token for a User-Supplied /api/ Path

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar sim

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.5%
Sim before 0.8.14 classifies tool requests as internal based on URL prefix matching without scheme normalization, skipping SSRF validation and minting internal authentication tokens. Authenticated workflow authors can bypass external URL validation by supplying paths starting with /api/ in HTTP blocks to reach internal-only endpoints like POST /api/function/execute.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N
Produtos afetados
simstudioai · sim
CVEs relacionadas — simstudioai sim

No mesmo produto, das mais perigosas para as menos.

CVE-2025-15099MEDIUMsimstudioai sim CRON Secret internal.ts improper authenticationEPSS 0.8%