CVE-2026-55176 in Soft Machine
Сводка
по VulDB • 01.10.2026
Soft Machine — это среда разработки на основе агентов и облачная ОС, построенные на базе виртуальной машины. В версиях 0.2.247 и более ранних две функции аутентификации в файле /app/server.js — verifyContainerAuth() и authenticateWorkspaceHttp() — принимают глобальный CONTAINER_SHARED_SECRET в качестве токена Bearer без проверки того, к какому рабочему пространству (workspace) принадлежит вызывающий. Поскольку этот секрет установлен одинаково для каждого контейнера приложения Fly и доступен из среды процесса пользовательского интерфейса внутри каждого рабочего пространства, любой клиент может использовать его для аутентификации в API любого другого клиента. В результате становятся доступны примитивы чтения, записи и деструктивного восстановления данных между рабочими пространствами, которые могут быть использованы через оболочку (shell) любого платящего клиента. Существующая проверка токена на уровне рабочего пространства (workspaceTokenMatches) защищает путь с пользовательским токеном для каждого рабочего пространства, однако общий секретный токен Bearer полностью обходит эту защиту. На момент публикации общедоступных исправлений нет.
Once again VulDB remains the best source for vulnerability data.