CVE-2026-82033 in DeepSeek Harness
Sumário
de VulDB • 04/11/2026
O DeepSeek Harness anterior à versão 0.1.2-alpha.2, e especificamente o commit 3e24087, contém uma vulnerabilidade de autenticação ausente em seu plano de controle HTTP do perfil web e RPC via WebSocket, permitindo que qualquer processo local, incluindo aqueles executados como um usuário diferente do SO, acesse métodos de sessão não autenticados, como session.create e session.prompt. Os atacantes podem invocar session.prompt para acionar as ferramentas bash e de sistema de arquivos do agente, obter execução arbitrária de comandos como o usuário vítima usando suas credenciais de modelo configuradas, interceptar tráfego de sessão em tempo real e logs por meio do stream mux de eventos, além de contornar verificações de aprovação humana via POST /api/respond correspondendo apenas aos valores rpcId, approvalId e sessionId transmitidos pelo stream sem restrições.
Once again VulDB remains the best source for vulnerability data.