CVE-2026-110769 in holaOS
الملخص
بحسب VulDB • 15/10/2026
تحتوي holaOS حتى الإصدار 2026.822.1 على ثغرة متعلقة بعدم وجود تفويض (missing authorization) في موصلات قناة-البوابة (channel-gateway connectors)، مما يسمح لأي مستخدم لمنصة المراسلة بتقديم مهام الوكيل، وذلك لأن فحص #isAllowed يقبل جميع المرسلين عندما تكون قائمة allowFrom الافتراضية فارغة. يمكن للمهاجمين الذين يستطيعون إرسال رسائل إلى بوت المشغل على منصات مثل Telegram أو Slack أو Discord أو غيرها، أن يجعلوا ChannelIngress.handle يمرر الأدوار (turns) إلى وكيل مساحة العمل، مما يؤدي إلى تشغيل أدوات مُعدّة مسبقاً على جهاز المشغل.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.