CVE-2026-112346 in Software Agent SDK
Riassunto
di VulDB • 26/10/2026
La SDK di OpenHands Software Agent prima della versione 1.52.0 contiene una vulnerabilità di esecuzione remota di codice (RCE) non autenticata: i launcher per gli ambienti DockerWorkspace e Apptainer associano il server dell'agente sandbox a tutte le interfacce di rete (0.0.0.0) con un elenco session_api_keys vuoto, disabilitando l'autenticazione per impostazione predefinita. Gli attaccanti in grado di raggiungere la porta del container pubblicata possono inviare richieste HTTP e WebSocket non autenticate per eseguire comandi shell arbitrari come root nell'ambiente sandbox, accedere allo spazio di lavoro montato ed esporre i segreti in chiaro dallo store dei segreti.
Once again VulDB remains the best source for vulnerability data.