p PatchFirst

CVE-2026-54695

CVE-2026-54695 · Pipecat: Telephony WebSocket `/ws` Unauthenticated Call-Control Abuse via Attacker-Supplied Call SID

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Pipecat is an open-source Python framework for building real-time voice and multimodal conversational agents. Prior to 1.4.0, the pipecat development runner registers a /ws WebSocket endpoint for telephony testing that accepts connections without authentication, reads an attacker-supplied callSid from a Twilio stream-start handshake in src/pipecat/runner/utils.py, and passes it to TwilioFrameSerializer so the server can issue an authenticated Twilio REST API hang-up request with the server operator's credentials; equivalent unauthenticated call-control sinks exist for Telnyx and Plivo. This issue is fixed in version 1.4.0.

CVSS 7.5 · Hoch · EPSS 0,6% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • pipecat

    Softwareversionen
    • < 1.4.0: Betroffen

    Keine Korrektur veröffentlicht

  • pipecat-ai PyPI

    Softwareversionen
    • 0.0.100
    • 0.0.101
    • 0.0.102
    • 0.0.103
    • 0.0.104
    • 0.0.105
    • 0.0.106
    • 0.0.107
    • 0.0.108
    • 0.0.77
    • 0.0.78
    • 0.0.79
    • 0.0.80
    • 0.0.81
    • 0.0.82
    • 0.0.83
    • 0.0.84
    • 0.0.85
    • 0.0.86
    • 0.0.87
    • 0.0.88
    • 0.0.89
    • 0.0.90
    • 0.0.91
    • 0.0.92
    • 0.0.93
    • 0.0.94
    • 0.0.95
    • 0.0.96
    • 0.0.97
    • 0.0.98
    • 0.0.99
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 0.0.77, < 1.4.0

    Auf 1.4.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →