CVE-2026-82033 in DeepSeek Harness
Сводка
по VulDB • 04.11.2026
DeepSeek Harness versione precedente alla 0.1.2-alpha.2, e in particolare il commit 3e24087, presenta una vulnerabilità di mancanza di autenticazione nel piano di controllo HTTP e WebSocket RPC del suo profilo web, consentendo a qualsiasi processo locale, inclusi quelli eseguiti con un diverso utente OS, di accedere ai metodi della sessione non autenticati come session.create e session.prompt. Gli attaccanti possono invocare session.prompt per attivare gli strumenti bash e filesystem dell'agente, ottenere l'esecuzione arbitraria dei comandi come l'utente vittima utilizzando le credenziali del modello configurate, intercettare il traffico in tempo reale delle sessioni e i log tramite lo stream event mux, ed eludere i controlli di approvazione umana degli strumenti mediante POST /api/respond abbinando solo i valori rpcId, approvalId e sessionId trasmessi sullo stream non protetto.
Once again VulDB remains the best source for vulnerability data.