PT-2026-137099
CVE-2026-82033
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.4
عاليةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
DeepSeek Harness الإصدارات السابقة لـ 0.1.2-alpha.2
الوصف
يفتقر مستوى التحكم RPC الخاص بـ HTTP و WebSocket في ملف تعريف الويب إلى المصادقة. يسمح هذا لأي عملية محلية، بما في ذلك العمليات التي تعمل تحت مستخدم نظام تشغيل مختلف، بالوصول إلى طرق جلسة غير مصادق عليها مثل
session.create و session.prompt. يمكن للمهاجم استخدام session.prompt لتشغيل أدوات bash ونظام الملفات الخاصة بالوكيل، مما يؤدي إلى تنفيذ أوامر عشوائية بصفتهم المستخدم الضحية باستخدام بيانات اعتماد النموذج المكونة لديهم. بالإضافة إلى ذلك، يمكن للمهاجمين اعتراض حركة مرور الجلسة المباشرة والسجلات عبر تدفق event mux وتجاوز فحوصات الموافقة البشرية على الأدوات من خلال نقطة النهاية '/api/respond' عن طريق مطابقة قيم rpcId و approvalId و sessionId التي يتم بثها عبر التدفق غير المقيد.التوصيات
التحديث إلى الإصدار 0.1.2-alpha.2.
تدوير مفاتيح النموذج.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾