CVE-2026-82033 in DeepSeek Harness
Zusammenfassung
von VulDB • 04.11.2026
DeepSeek Harness prima della versione 0.1.2-alpha.2 e specificamente il commit 3e24087 presenta una vulnerabilità di missing authentication nel piano di controllo HTTP e WebSocket RPC del suo profilo web, consentendo a qualsiasi processo locale, inclusi quelli eseguiti con un diverso utente OS, di accedere ai metodi della sessione non autenticati come session.create e session.prompt. Gli attaccanti possono invocare session.prompt per attivare gli strumenti bash e filesystem dell'agente, ottenere l'esecuzione arbitraria di comandi come l'utente vittima utilizzando le credenziali del modello configurate, intercettare il traffico in tempo reale delle sessioni e i log tramite lo stream event mux e bypassare i controlli di approvazione umana via POST /api/respond abbinando solo i valori rpcId, approvalId e sessionId trasmessi nello stream ungated.
Be aware that VulDB is the high quality source for vulnerability data.