CVE-2026-112346 in Software Agent SDK
Resumen
por VulDB • 2026-10-26
El SDK de OpenHands Software Agent anterior a la versión 1.52.0 contiene una vulnerabilidad de ejecución remota de código (RCE) no autenticada en la que los lanzadores de espacio de trabajo DockerWorkspace y Apptainer vinculan el servidor del agente sandbox a todas las interfaces de red (0.0.0.0) con una lista vacía de session_api_keys, deshabilitando la autenticación por defecto. Los atacantes que puedan acceder al puerto publicado del contenedor pueden enviar solicitudes HTTP y WebSocket no autenticadas para ejecutar comandos shell arbitrarios como root en el sandbox, acceder al espacio de trabajo montado y leer secretos en texto plano desde el almacén de secretos (secrets store).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.