CVE-2026-108711

Nome do Software Vulnerável e Versões Afetadas Plastic Labs Honcho versões anteriores a 3.3.1

Descrição Existe um problema de autorização incorreta onde detentores de chaves de API com escopo de peer ou sessão podem acessar dados do espaço de trabalho. Isso ocorre porque a função get or create workspace() verifica apenas a reivindicação do espaço de trabalho. Um invasor pode enviar o nome do espaço de trabalho pai para o endpoint 'POST /v3/workspaces' para recuperar metadados e configurações do espaço de trabalho, como custom instructions, que deveriam ser reservados para chaves de administrador ou do espaço de trabalho.

Recomendações Atualize o Plastic Labs Honcho para a versão 3.3.1 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /v3/workspaces' para usuários com chaves de API de escopo de peer ou sessão.