PT-2026-123400
CVE-2026-112346
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenHands Software Agent SDK الإصدارات السابقة لـ 1.52.0
Description
توجد ثغرة تنفيذ عن بُعد للكود بدون مصادقة حيث يقوم مشغلا مساحة عمل DockerWorkspace و Apptainer بربط خادم وكيل sandbox بجميع واجهات الشبكة (0.0.0.0) مع قائمة
session api keys فارغة، مما يؤدي إلى تعطيل المصادقة افتراضيًا. يمكن للمهاجم الذي يمكنه الوصول إلى منفذ الحاوية المنشور إرسال طلبات HTTP و WebSocket غير مصادق عليها لتنفيذ أوامر shell عشوائية بصلاحيات root داخل sandbox، والوصول إلى مساحة العمل المثبتة، وقراءة الأسرار بنص واضح من مخزن الأسرار.Recommendations
التحديث إلى الإصدار 1.52.0.
إبقاء منافذ sandbox بعيدة عن الشبكات غير الموثوقة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾