CVE-2026-108788

DeepSeek Harness przed wersją 0.1.2-alpha.1 zawiera lukę obejścia uwierzytelniania, która przyznaje nieuwierzytelniony dostęp do lokalnego API sterowania agentem HTTP poprzez akceptowanie nagłówka Host wskazującego loopback dostarczonego przez klienta, zamiast weryfikacji rzeczywistego pochodzenia połączenia TCP. W domyślnej konfiguracji ograniczony proces wykonujący narzędzia może osiągnąć API loopback bez ekspozycji portu i wykorzystać je do ucieczki z sandboxa systemu operacyjnego, eskalacji do nieograniczonego wykonania i wyłączenia monitu zatwierdzenia. Gdy port jest osiągalny zewnętrznie przez tunel, przekierowanie SSH lub reverse proxy, zdalny atakujący może wykorzystać tę samą wadę do tworzenia sesji, wykonywania dowolnych poleceń i eksfiltracji przechowywanych transkryptów rozmów bez poświadczeń.

Problem w funkcji context-compaction narzędzia DeepSeek Harness (dsh) w commicie c291e796 pozwala atakującym na przeprowadzenie ataku typu prompt injection poprzez spreparowaną treść zewnętrzną.

W deepseek-ai deepseek-harness do wersji 0.1.1-rc.2 wykryto podatność w funkcji agent komponentu dsh-workflow-worker-thread. Manipulacja prowadzi do wymuszenia określonego przepływu pracy (behavioral workflow). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

W DeepSeek deepseek-harness do wersji 0.1.7-rc.2 wykryto podatność w funkcji loadProfile pliku packages/boot/app-boot/src/profile.ts w komponencie Bundle Patch Handler. Manipulacja argumentem dsh.bundle.patch prowadzi do path traversal, a atak można przeprowadzić zdalnie, choć wymaga wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział.

W deepseek-ai deepseek-harness do wersji 0.1.5-rc.3 zidentyfikowano podatność w nieznanej funkcji pliku packages/e2b/e2b/src/index.ts w komponencie dsh. Manipulacja argumentem E2B_API_KEY prowadzi do polegania na niezaufanych danych wejściowych w decyzji bezpieczeństwa, a atak wymaga dostępu lokalnego. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział.

Podatność znaleziona w deepseek-ai deepseek-harness do wersji 0.1.0-rc.7 dotyczy funkcji run_code w komponencie Code Mode Sandbox. Manipulacja prowadzi do problemów z sandboxem, a atak może być wykonany zdalnie. Dokumentacja i kod dostawcy wyraźnie stwierdzają, że worker jest "kontenerem, a nie granicą bezpieczeństwa".

Wykryto podatność w deepseek-ai deepseek-harness do 0.1.7-rc.2. Nieznana funkcja w pliku packages/sandbox/sandbox-local/src/profiles.ts komponentu Landlock Backend prowadzi do niewłaściwej izolacji lub compartmentalizacji. Atak musi być przeprowadzony lokalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział.