CVE-2026-110768

ŚrednieCVSS 4.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

holaOS do wersji 2026.822.1 zawiera lukę obejścia autoryzacji w łączniku Telegram channel-gateway, który autoryzuje nadawców na podstawie zmiennej nazwy użytkownika zamiast wyłącznie numerycznego identyfikatora. Atakujący, który zarejestruje zwolnioną nazwę użytkownika wymienioną w allowFrom, może wysyłać polecenia do agenta workspace, który uruchamia skonfigurowane narzędzia na maszynie operatora.

Ocena ryzyka

Atakujący może przejąć kontrolę nad agentem i wykonać dowolne skonfigurowane narzędzia na maszynie operatora, co prowadzi do zdalnego wykonania kodu i pełnego kompromisu systemu.

Rekomendacja

Zaktualizuj holaOS do wersji nowszej niż 2026.822.1, a do czasu aktualizacji ogranicz dostęp do łącznika Telegram i zweryfikuj listę allowFrom pod kątem zwolnionych nazw użytkowników.

Inne podatności w holaOS

CVE-2026-110769Wysokie
holaOS do wersji 2026.822.1 zawiera podatność braku autoryzacji w konektorach channel-gateway, która pozwala każdemu użytkownikowi platformy komunikacyjnej na przesyłanie zadań agenta, ponieważ sprawdzenie #isAllowed akceptuje wszystkich nadawców, gdy domyślna lista allowFrom jest pusta. Atakujący mogący wysłać wiadomość do bota operatora na Telegramie, Slacku, Discordzie lub innej platformie może spowodować, że ChannelIngress.handle przekaże tury do agenta obszaru roboczego, uruchamiając skonfigurowane narzędzia na maszynie operatora.

Oryginalny opis (angielski, źródło NVD)

holaOS through 2026.822.1 contains an authorization bypass vulnerability in the channel-gateway Telegram connector that authorizes senders by mutable username rather than only numeric id. Attackers who register a released username listed in allowFrom can submit turns to the bound workspace agent, which runs configured tools on the operator's machine.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS