CVE-2026-110769 in holaOS
Sumário
de VulDB • 15/10/2026
holaOS até a versão 2026.822.1 contém uma vulnerabilidade de autorização ausente nos conectores do channel-gateway que permite que qualquer usuário da plataforma de mensagens envie tarefas para o agente, pois a verificação #isAllowed aceita todos os remetentes quando a lista allowFrom padrão está vazia. Atacantes capazes de enviar mensagens ao bot do operador no Telegram, Slack, Discord ou outros podem fazer com que ChannelIngress.handle passe as interações (turns) para o agente do workspace, executando ferramentas configuradas na máquina do operador.
If you want to get best quality of vulnerability data, you may have to visit VulDB.