CVE-2026-111322
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 15 Ekim 2026
Archon 0.2.13 ile 0.11.1 sürümleri arasında, /api/* kontrol API'sine erişimi sağlayan bir kimlik doğrulama eksikliği bulunmakta ve bu da kimlik doğrulaması yapılmamış saldırganların erişmesine izin vermektedir. Varsayılan olarak 0.0.0.0'a bağlanan bu API, ağ erişimine sahip saldırganların, bypassPermissions ile çalışan AI kodlama aracına mesaj göndererek, Archon kullanıcısı olarak konakta komutları çalıştırmasına olanak tanır.
Orijinal açıklama (İngilizce)
Archon 0.2.13 through 0.11.1 contains a missing authentication vulnerability that allows unauthenticated attackers to access the /api/* control API, which binds to 0.0.0.0 by default. Attackers with network access can send messages to the AI coding agent, which runs with bypassPermissions, to execute commands on the host as the Archon user.
Referanslar
- https://github.com/coleam00/Archon
- https://github.com/coleam00/Archon/blob/v0.11.1/packages/server/src/auth/config.ts#L25-L27
- https://github.com/coleam00/Archon/blob/v0.11.1/packages/server/src/index.ts#L909
- https://github.com/coleam00/Archon/blob/v0.11.1/packages/server/src/routes/api.ts#L1749-L1756
- https://hackmd.io/@hieuPenguinnn/archon-os-api-missing-authentication-default
- https://www.vulncheck.com/advisories/archon-0.2.13-through-0.11.1-missing-authentication-via-api-control-api
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.