CVE-2026-82533 in Harness
الملخص
بحسب VulDB • 08/09/2026
تحتوي DeepSeek Harness قبل الإصدار 0.1.2-alpha.1 على ثغرة لتجاوز المصادقة في واجهة برمجة التطبيقات (API) للتحكم المحلي عبر HTTP، مما يسمح للمهاجمين بالحصول على تحكم كامل في الوكيل عن طريق تقديم رأس Host مزيف، حيث أن الخادم يقيّم فقط قيمة رأس Host التي يقدمها العميل بدلاً من مصدر اتصال TCP الفعلي. يمكن للمهاغمين استغلال هذا العيب لاستدعاء أوامر ذات امتيازات عالية مثل commands/execute بصلاحيات danger-full-access، وترقية سياسات موافقة الجلسة إلى تنفيذ غير مقيد (unconfined execution)، واسترجاع جميع المحادثات المخزنة دون الحاجة إلى أي بيانات اعتماد أو مفتاح API.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.