Résumé
généré automatiquement à partir des données NVDOpenHands Software Agent SDK, dans les versions antérieures à 1.52.0, présente une vulnérabilité d'exécution de code à distance sans authentification (CWE-1327). Les lanceurs DockerWorkspace et Apptainer lient le serveur d'agent du sandbox à 0.0.0.0 avec une liste session_api_keys vide, ce qui désactive l'authentification par défaut. Un attaquant atteignant le port du conteneur peut, via des requêtes HTTP et WebSocket, exécuter des commandes shell en root dans le sandbox, accéder au workspace monté et lire les secrets en clair. Score CVSS v3.1 : 9.8 (CRITICAL).
Description NVD (anglais)
OpenHands Software Agent SDK before 1.52.0 contains an unauthenticated remote code execution vulnerability where the DockerWorkspace and Apptainer workspace launchers bind the sandbox agent server to all network interfaces (0.0.0.0) with an empty session_api_keys list, disabling authentication by default. Attackers who can reach the published container port can send unauthenticated HTTP and WebSocket requests to execute arbitrary shell commands as root in the sandbox, access the mounted workspace, and read plaintext secrets from the secrets store.
Articles d'analyse sur cveo.tech
Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.
Score CVSS v3.1
Informations
- Publié
- 26 oct. 2026
- Mis à jour
- 26 oct. 2026
- Statut
- Awaiting Analysis
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (4)
CVEs similaires
Autres vulnérabilités de type CWE-1327
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.