یک آسیب‌پذیری امنیتی با شناسه CVE-2026-124587 در بیلد دسکتاپ Electrobun متعلق به پلتفرم elizaOS شناسایی شده است. این نقص امنیتی از نوع افشای اطلاعات (Information Disclosure) است و می‌تواند منجر به نشت حساس‌ترین توکن دسترسی اپلیکیشن شود.
جزئیات فنی و مکانیسم حمله
در این پلتفرم، سرور استاتیک محلی (local static server) توکن OWNER bearer token را مستقیماً در اسناد HTML ارسالی تزریق می‌کند. برای بهره‌برداری موفق از این آسیب‌پذیری، دو شرط اساسی باید برقرار باشد:
- سرور استاتیک باید سند index حاوی توکن را ارائه دهد.
- هدر Access-Control-Allow-Origin باید به گونه‌ای پیکربندی شده باشد (Permissive CORS) که به وب‌سایت‌های خارجی اجازه خواندن بدنه پاسخ را بدهد.
در این سناریو، اگر کاربر فریب خورده و محتوای کنترل‌شده توسط مهاجم را بارگذاری کند، اسکریپت مخرب می‌تواند از طریق یک درخواست cross-origin، توکن دسترسی سطح بالای کاربر را استخراج کند. همچنین هر فرآیند محلی (local process) که قادر به خواندن صفحه ارسالی باشد، می‌تواند به این توکن دسترسی پیدا کند.
ارزیابی شدت و ریسک
این آسیب‌پذیری با امتیاز 5.3 (Medium) در مقیاس CVSS 4.0 رتبه‌بندی شده است. اگرچه توکن افشا شده دارای بالاترین سطح دسترسی در اپلیکیشن است، اما پیچیدگی حمله به دلیل نیاز به تعامل کاربر (UI:P) و وابستگی به تنظیمات CORS، شدت آن را از حالت بحرانی به متوسط کاهش داده است. در حال حاضر شواهدی از بهره‌برداری گسترده در محیط واقعی وجود ندارد و تنها یک ارجاع عمومی به PoC در گیت‌هاب ثبت شده است که هنوز به طور کامل تایید نشده است.
راهکارهای اصلاحی
برای رفع این مشکل، اقدامات زیر توصیه می‌شود:
- اعمال پچ: به‌روزرسانی به نسخه‌ای که شامل کامیت اصلاحی مربوطه باشد. در این نسخه، تزریق توکن از HTML حذف شده و انتقال آن تنها از طریق typed RPC bridge انجام می‌شود.
- کنترل‌های جبرانی: در صورت عدم امکان آپدیت فوری، باید دسترسی‌های cross-origin در سرور استاتیک محلی محدود شده و از ارسال هدرهای CORS باز (Permissive) خودداری شود.
- چرخش توکن: پس از به‌روزرسانی، توصیه می‌شود توکن OWNER تغییر داده شود تا هرگونه توکن احتمالی که پیش از اعمال پچ سرقت شده است، بی‌اعتبار گردد.
