PT-2026-61723
CVE-2026-64651
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @ai-sdk/harness-opencode الأقدم من 1.0.28
الوصف
تقوم الأداة بربط HarnessAgent بـ OpenCode عبر جسر يعمل في بيئة عزل (sandbox). وتقوم الأداة بترحيل الطلبات المصرح بها من أي عملية يحتوي سطر أوامرها على مسار البرنامج النصي المساعد المسموح به
host-tool-mcp.mjs. وهذا يسمح للكود غير الموثوق به الذي يتم تنفيذه في بيئة الحماية (sandbox) باستدعاء أدوات معرّضة من المضيف بشكل تعسفي، مثل عمليات البحث عن الأسرار وعمليات النشر ونداءات واجهة برمجة التطبيقات السحابية (API)، دون وجود حدث استدعاء أداة مصرح به من قبل النموذج. يتطلب استغلال هذه الثغرة وجود بيئة Linux وجلسة harness نشطة مع أدوات مقدمة من المضيف وكود غير موثوق به يتم تنفيذه في بيئة الحماية (sandbox)، مثل التبعية الخبيثة أو البرنامج النصي للبناء أو ربط دورة الحياة.التوصيات
قم بالتحديث إلى الإصدار 1.0.28 أو أحدث.
لا تقم بتشغيل نظام OpenCode على مستودعات غير موثوق بها أو مع تبعيات غير موثوق بها.
قصر استخدام الأدوات المعرضة من المضيف على العمليات غير الحساسة عند العمل مع كود غير موثوق به.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾