Cline Kanban Server has a Cross-Origin WebSocket Hijacking Vulnerability

O Cline Kanban Server versões 2.13.0 e anteriores permite que atacantes de outros sites sequestrem conexões WebSocket, possivelmente controlando o servidor ou roubando dados sensíveis. Isso ocorre porque o servidor não valida adequadamente se as solicitações vêm de fontes confiáveis.

Existe uma vulnerabilidade de sequestro de WebSocket entre origens no Cline Kanban Server ≤2.13.0 onde validação insuficiente de origem permite que atacantes estabeleçam conexões WebSocket de domínios maliciosos (CWE-1385: Codificação Inadequada de Saída; CWE-306: Autenticação Ausente para Função Crítica). Um atacante pode criar uma página maliciosa que, quando visitada por um usuário com uma sessão Cline ativa, estabelece um canal WebSocket autenticado para o servidor alvo, potencialmente alcançando execução de comando ou exfiltração de dados.