PT-2026-2315
CVE-2026-22812
·
تاريخ النشر
2026-01-12
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 2.0
10
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
OpenCode، الإصدارات الأقدم من 1.0.216
الوصف
يحتوي OpenCode، وهو وكيل ترميز مفتوح المصدر يعمل بالذكاء الاصطناعي، على مشكلة تتمثل في أنه يبدأ تشغيل خادم HTTP تلقائيًا دون مصادقة. وهذا يسمح لأي عملية محلية أو أي موقع ويب، بسبب إعدادات CORS المتساهلة، بتنفيذ أوامر شل تعسفية بامتيازات المستخدم الذي يقوم بتشغيل التطبيق. تسمح هذه الثغرة بتنفيذ التعليمات البرمجية عن بُعد. وترتبط المشكلة بعدم وجود مصادقة لوظيفة حاسمة.
نقطة النهاية المعرضة للخطر هي
/session/{id}/shell، حيث يمثل id معرّف الجلسة. يتضمن الاستغلال إرسال طلب POST إلى نقطة النهاية هذه دون أي مصادقة، مما يسمح بتنفيذ الأوامر مباشرةً.التوصيات
قم بتحديث OpenCode إلى الإصدار 1.0.216 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾