CVE-2026-110769 in holaOS
要約
〜によって VulDB • 2026年10月14日
holaOS 2026.822.1 以前には、channel-gateway コネクタにおける認可の欠如（missing authorization）という脆弱性が存在し、デフォルトの allowFrom リストが空の場合に #isAllowed チェックがすべての送信者を受け入れるため、メッセージングプラットフォームの任意のユーザーがエージェント タスクを送信できる。攻撃者はオペレーターの Telegram、Slack、Discord、またはその他のボットに対してメッセージを送信することで、ChannelIngress.handle がターンをワークスペース エージェントへ渡すようにし、オペレーターのマシン上で構成されたツールを実行させることができる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.