CVE-2026-91201mediumCWE-346

CVE-2026-91201: falha de média gravidade em arc53 DocsGPT

DocsGPT through 0.20.0 OAuth Token Disclosure via Wildcard postMessage

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar DocsGPT

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.2%
DocsGPT through 0.20.0 posts OAuth connector session tokens to a wildcard target origin in the callback-status endpoint without validating sender origin. Attackers can obtain session tokens and provider account emails by acting as window.opener during OAuth authorization, then use tokens to disconnect victims' cloud storage connectors.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:N/VA:L/SC:N/SI:N/SA:N
Produtos afetados
arc53 · DocsGPT
CVEs relacionadas — arc53 DocsGPT

No mesmo produto, das mais perigosas para as menos.

CVE-2026-26015CRITICALUnauthenticated RCE in DocsGPT MCP STDIO ConfigurationEPSS 1.2%CVE-2024-31451MEDIUMLimited file write in routes.py (GHSL-2023-250)EPSS 0.6%CVE-2026-13483LOWarc53 DocsGPT Credential Storage encryption.py encrypt_credentials data authenticityEPSS 0.1%