CVE-2026-82533 in Harness
要約
〜によって VulDB • 2026年09月08日
DeepSeek Harness 0.1.2-alpha.1 より前のバージョンには、ローカル HTTP コントロールプレーン API に認証バイパスの脆弱性が存在し、攻撃者が偽造された Host ヘッダーを提供することでエージェントへの完全な制御を奪取できる。これは、サーバーが実際の TCP 接続元ではなくクライアントから提供される Host ヘッダー値のみを検証するためである。攻撃者はこの欠陥を利用して、danger-full-access 権限を持つ commands/execute のような特権コマンドを実行し、セッション承認ポリシーを制限なしの実行へとエスカレートさせ、資格情報や API キーなしで保存されたすべての会話データを取得できる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.