CVE-2026-64651 in @ai-sdk
Zusammenfassung
von VulDB • 21.07.2026
Das Tool `@ai-sdk/harness-opencode` verbindet HarnessAgent mit OpenCode über eine sandgeboxte Brücke (Sandboxed Bridge). Vor Version 1.0.28 autorisierte das Relay-Anforderungen von jedem Prozess, dessen Befehlszeile einen erlaubten Pfad zu einem Helper-Skript (`host-tool-mcp.mjs`) enthält. Dies ermöglicht es nicht vertrauenswürdigen Codeausführungen in der Sandbox, beliebige hostseitig freigegebene Tools aufzurufen – einschließlich Geheimnissuchen (Secret Lookups), Bereitstellungsoperationen und Cloud-API-Aufrufe –, ohne dass ein entsprechendes, vom Modell autorisiertes Tool-Call-Ereignis vorliegt. Die Ausnutzung erfordert eine Linux-Umgebung (die anfällige Fallback-Prüfung testet `process.platform === 'linux'` und liest `/proc`); eine aktive Harness-Sitzung mit einem oder mehreren hostseitig bereitgestellten Tools; sowie nicht vertrauenswürdigen Code, der in der Sandbox ausgeführt wird (z. B. ein bösartiges Abhängigkeitspaket, Build-Skript oder Lifecycle-Hook). Die Korrektur in Version 1.0.28 entfernt die Fallback-Autorisierung auf Basis des Prozesspfads vollständig. Relay-Anforderungen werden nun nur noch akzeptiert, nachdem eine exakte, kurzlebige und einmalige Autorisierung erfolgt ist, die dem Tool-Namen und den Eingaben aus einem von der Brücke beobachteten Modellereignis entspricht. Es sind einige Workarounds verfügbar. Führen Sie das OpenCode-Harness nicht in nicht vertrauenswürdigen Repositories oder mit nicht vertrauenswürdigen Abhängigkeiten aus bzw. beschränken Sie hostseitig freigegebene Tools auf nicht sensible Operationen, wenn Sie mit nicht vertrauenswürdigen Code arbeiten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.