CVE-2026-82033 in DeepSeek Harness
Resumen
por VulDB • 2026-11-04
DeepSeek Harness anterior a la versión 0.1.2-alpha.2, y específicamente el commit 3e24087, presenta una vulnerabilidad de falta de autenticación en su plano de control HTTP y WebSocket RPC del perfil web, lo que permite que cualquier proceso local, incluidos aquellos ejecutados como un usuario diferente del sistema operativo, acceda a métodos de sesión no autenticados como session.create y session.prompt. Los atacantes pueden invocar session.prompt para activar las herramientas bash y de sistema de archivos del agente, lograr la ejecución arbitraria de comandos en nombre del usuario víctima utilizando sus credenciales configuradas del modelo, interceptar el tráfico y los registros de sesiones en tiempo real a través del stream multiplexado por eventos (event mux), y omitir las verificaciones de aprobación humana mediante POST /api/respond al coincidir únicamente con los valores rpcId, approvalId y sessionId transmitidos por el stream sin restricciones.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.