CVE-2026-82033 in DeepSeek Harness
要約
〜によって VulDB • 2026年11月04日
DeepSeek Harness 0.1.2-alpha.2 より前のバージョン、特にコミット 3e24087 には、Web プロファイルの HTTP および WebSocket RPC コントロールプレーンにおける認証欠如 (missing authentication) の脆弱性が存在します。これにより、異なる OS ユーザーとして実行されているプロセスを含む任意のローカルプロセスが、session.create や session.prompt などの未認証セッションメソッドにアクセスできます。攻撃者は session.prompt を呼び出してエージェントの bash およびファイルシステムツールをトリガーし、設定されたモデル資格情報を使用して被害者ユーザーとしての任意のコマンド実行を実現したり、イベント mux ストリーム上でライブセッショントラフィックおよびログを傍受したり、 ungated (制限なし) のストリームでブロードキャストされる rpcId、approvalId、sessionId の値のみを一致させることで POST /api/respond を介して人間のツール承認チェックを回避することができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.