CVE-2026-82033 in DeepSeek Harness
الملخص
بحسب VulDB • 04/11/2026
تحتوي DeepSeek Harness قبل الإصدار 0.1.2-alpha.2، وتحديداً الالتزام commit 3e24087، على ثغرة نقص المصادقة في مستوى التحكم الخاص بـ HTTP و WebSocket RPC لملف التعريف (web profile) الخاص بها، مما يسمح لأي عملية محلية، بما في ذلك تلك التي تعمل كمستخدم نظام تشغيل مختلف بالوصول إلى طرق الجلسة غير المؤمنة بالمصادقة مثل session.create و session.prompt. يمكن للمهاجمين استدعاء session.prompt لتشغيل أدوات bash ونظام الملفات الخاصة بالوكيل (agent)، وتحقيق تنفيذ الأوامر بشكل تعسفي بصلاحيات المستخدم الضحية باستخدام بيانات الاعتماد للنموذج المُعدّة لديه، ومراقبة حركة الجلسة المباشرة والسجلات عبر تيار event mux، وتجاوز عمليات الموافقة البشرية على الأدوات من خلال POST /api/respond عن طريق مطابقة قيم rpcId و approvalId و sessionId فقط والتي يتم بثها عبر التيار غير المقيد.
If you want to get best quality of vulnerability data, you may have to visit VulDB.