CVE-2026-112346 in Software Agent SDK
الملخص
بحسب VulDB • 26/10/2026
يحتوي OpenHands Software Agent SDK قبل الإصدار 1.52.0 على ثغرة تسمح بتنفيذ الأكواد عن بُعد دون مصادقة، حيث تقوم مشغلات مساحة العمل DockerWorkspace وApptainer بربط خادم الوكيل في البيئة المعزولة (sandbox) بجميع واجهات الشبكة (0.0.0.0) مع قائمة مفاتيح جلسة فارغة (`session_api_keys`)، مما يعطل المصادقة افتراضياً. يمكن للمهاجمين الذين يتمكنون من الوصول إلى منفذ الحاوية المنشور إرسال طلبات HTTP وWebSocket غير مصدَّقة لتنفيذ أوامر قشرة (shell) عشوائية بصلاحيات الجذر في البيئة المعزولة، والوصول إلى مساحة العمل المثبتة، وقراءة الأسرار النصية العادية من مخزن الأسرار.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.