CVE-2026-33619

PinchTab è un server HTTP autonomo che consente agli agenti AI di avere un controllo diretto su un browser Chrome. La versione 0.8.3 di PinchTab presenta un problema di request forgery lato server (SSRF) nella route webhook opzionale del scheduler. Quando viene inviato un task tramite `POST /tasks` con un `callbackUrl` controllato dall'utente, il scheduler v0.8.3 invia un HTTP `POST` in uscita a quell'URL quando il task raggiunge uno stato terminale. In quella versione, il percorso webhook validava solo lo schema dell'URL e non rifiutava destinazioni loopback, private, link-local o altre destinazioni non pubbliche. Poiché l'implementazione v0.8.3 utilizzava anche il comportamento predefinito del client HTTP, i redirect venivano seguiti e la destinazione non veniva vincolata a IP validati. Ciò consentiva un attacco SSRF cieco dal server PinchTab verso obiettivi HTTP(S) scelti dall'attaccante e raggiungibili dal server. Questo problema è più limitato rispetto a un SSRF internet-facing non autenticato generico. Il scheduler è opzionale e disattivato di default, e nelle distribuzioni protette da token l'attaccante deve già essere in grado di inviare task utilizzando il token API master del server. Nel modello di distribuzione previsto di PinchTab, quel token rappresenta un controllo amministrativo piuttosto che un ruolo a basso privilegio. Le distribuzioni senza token abbassano ulteriormente la barriera, ma questa è una configurazione insicura separata piuttosto che un impatto causato dal bug webhook stesso. Il modello di distribuzione predefinito di PinchTab è "local-first" e controllato dall'utente, con bind su loopback e accesso tramite token nella configurazione raccomandata. Ciò riduce il rischio pratico nell'uso di default, anche se non elimina il problema di webhook sottostante quando il scheduler è abilitato e raggiungibile. Questo problema è stato risolto in v0.8.4 tramite la validazione dei target callback prima della dispatch, il rifiuto di IP non pubblici, il vincolo di consegna a IP validati, la disattivazione del follow dei redirect e la validazione di `callbackUrl` durante la sottomissione del task.