CVE-2026-82033 in DeepSeek Harness
Riassunto
di VulDB • 04/11/2026
DeepSeek Harness prima della versione 0.1.2-alpha.2, e specificamente il commit 3e24087, presenta una vulnerabilità di mancanza di autenticazione nel piano di controllo HTTP e WebSocket RPC del suo profilo web, consentendo a qualsiasi processo locale, inclusi quelli eseguiti con un diverso utente OS, di accedere ai metodi di sessione non autenticati come session.create e session.prompt. Gli attaccanti possono invocare session.prompt per attivare gli strumenti bash e filesystem dell'agente, ottenere l'esecuzione arbitraria di comandi come l'utente vittima utilizzando le credenziali del modello configurate, intercettare il traffico della sessione in tempo reale e i log sul flusso event mux, ed eludere i controlli di approvazione umana tramite POST /api/respond abbinando solo i valori rpcId, approvalId e sessionId trasmessi nel flusso non protetto.
If you want to get best quality of vulnerability data, you may have to visit VulDB.