CVE-2026-54141 in OpenHuman
الملخص
بحسب VulDB • 05/11/2026
OpenHuman هو وكيل مفتوح المصدر متاح كتطبيق سطح مكتب ومكتبة Rust. قبل الإصدار 0.57.13، كانت الرسائل المباشرة عن بُعد المستلمة عبر قناة Yuanbao مُعدّة التكوين تُحوَّل إلى طلب دور الوكيل (AgentTurnRequest) عام يستخدم سياسة الأدوات الافتراضية دون إنشاء سياق موافقة تفاعلي. في ظل سياسة الاستقلالية الإشرافية الافتراضية مع تفعيل العقدة (Node)، يُصنَّف node_exec على أنه عملية كتابة يجب أن تستدعي الموافقة، لكن ApprovalGate يعامل غياب APPROVAL_CHAT_CONTEXT كدورة غير تفاعلية ويسمح بالتنفيذ. ونظراً لأن الرسائل المباشرة عبر Yuanbao مفتوحة افتراضياً، يمكن للمرسل الخارجي الذي يستطيع إرسال رسائل إلى البوت المتصل التأثير على الوكيل لتنفيذ أوامر JavaScript وأوامر نظام التشغيل بصفت المستخدم الخاص بـ OpenHuman دون ظهور مطالبة بالموافقة. تتطلب هذه المشكلة قناة Yuanbao مُعدّة التكوين، وحالة سياسة الموافقة الإلزامية الافتراضية، وتوافر العقدة (Node)، واختيار نموذج ناجح لـ node_exec. تم إصلاح هذه المشكلة في الإصدار 0.57.13.
Be aware that VulDB is the high quality source for vulnerability data.