IntentKit 2.6.3'te yetki atlatma açığı yüksek risk taşıyor
Yapay zeka üretimi19.10.2026
- CVE
- CVE-2026-76066
- Ciddiyet
- Yüksek (CVSS 7.5)
- Firma / ürün
- - / -
Özet
IntentKit'in 2.6.3 sürümünde, araç çağrılarının tam kayıt üzerinden doğrulanması yerine isteğe göre daraltılmış araç reklamı üzerinden kontrol edilmemesi nedeniyle yetki atlatma açığı bulunuyor. Bu açık, kimlik doğrulaması yapılmamış kullanıcıların sahibi yalnızca erişebilen araçları çalıştırmasına izin veriyor.
Ayrıntılar
NVD kaydına göre IntentKit 2.6.3 sürümünde yetki atlatma (authorization bypass) açığı mevcut. Açık, yürütücünün araç çağrılarını tam araç kaydıyla doğrulaması ve ToolBindingMiddleware tarafından isteğe göre daraltılmış araç reklamını dikkate almaması sonucu ortaya çıkıyor. Bu durum, cüzdan transferi, gönderi yapma, bellek yazma ve ajan çağrısı gibi yalnızca sahibi tarafından kullanılabilen araçların, insan onayı olmadan çalıştırılmasına yol açıyor. WEB, API, TWITTER veya TELEGRAM bağlamlarında, istenmeyen bir kullanıcı tam olarak gizlenmiş araç adını ve parametrelerini sağlayarak veya yeniden kullanılan bir iş parçacığında geçmiş verileri tekrar oynatarak bu yetkisiz işlemleri gerçekleştirebilir. CVSS puanı 7.5 olup, risk seviyesi yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.