CVE-2026-82033

Nome do Software Vulnerável e Versões Afetadas DeepSeek Harness versões anteriores a 0.1.2-alpha.2

Descrição O plano de controle RPC HTTP e WebSocket do perfil web carece de autenticação. Isso permite que qualquer processo local, incluindo aqueles executados por um usuário diferente do sistema operacional, acesse métodos de sessão não autenticados, como session.create e session.prompt. Um invasor pode usar session.prompt para acionar as ferramentas de bash e sistema de arquivos do agente, resultando na execução de comandos arbitrários como o usuário vítima usando suas credenciais de modelo configuradas. Além disso, invasores podem interceptar tráfego de sessão ao vivo e logs através do fluxo event mux e ignorar verificações de aprovação de ferramentas humanas por meio do endpoint '/api/respond', correspondendo aos valores de rpcId, approvalId e sessionId transmitidos pelo fluxo não restringido.

Recomendações Atualize para a versão 0.1.2-alpha.2. Rotacione as chaves do modelo.