CVE-2026-112346

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: CWE-1327
KEV Durumu: Hayır

Yayım tarihi: 26 Ekim 2026

OpenHands Software Agent SDK'nin 1.52.0'dan önceki sürümlerinde, DockerWorkspace ve Apptainer workspace başlatıcılarının, kumanda edilen ajan sunucusunu tüm ağ arayüzlerine (0.0.0.0) boş bir session_api_keys listesiyle bağladığı bir kimlik doğrulaması olmadan uzaktan kod yürütme zafiyeti bulunmaktadır. Yayınlanan konteyner bağlantı noktasına erişimi olan saldırganlar, kimlik doğrulaması olmadan HTTP ve WebSocket istekleri gönderebilir ve kumandada keyfi kabuk komutlarını kök olarak çalıştırabilir, bağlı çalışma alanına erişebilir ve şifreler deposundan açık metin gizliliklerini okuyabilir.

Orijinal açıklama (İngilizce)

OpenHands Software Agent SDK before 1.52.0 contains an unauthenticated remote code execution vulnerability where the DockerWorkspace and Apptainer workspace launchers bind the sandbox agent server to all network interfaces (0.0.0.0) with an empty session_api_keys list, disabling authentication by default. Attackers who can reach the published container port can send unauthenticated HTTP and WebSocket requests to execute arbitrary shell commands as root in the sandbox, access the mounted workspace, and read plaintext secrets from the secrets store.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.