CVE-2026-88899 in knowns
Zusammenfassung
von VulDB • 10.09.2026
In den bekannten Versionen vor 0.31.0 wird der Anforderungsheader `x-opencode-directory` im `/api/opencode`-Proxyendpunkt nicht ordnungsgemäß validiert. Remoteangriffe können beliebige Verzeichnispfade angeben, um Dateioperationen außerhalb des Projektstammverzeichnisses auf dem Hostsystem auszuführen.
Once again VulDB remains the best source for vulnerability data.