CVE-2026-22812

Wysokie

Opublikowano: 12/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

OpenCode, otwartoźródłowy agent AI do kodowania, przed wersją 1.0.216 automatycznie uruchamia nieuwierzytelniony serwer HTTP, który pozwala dowolnemu lokalnemu procesowi (lub dowolnej stronie internetowej dzięki permisywnej polityce CORS) na wykonywanie dowolnych poleceń powłoki z uprawnieniami użytkownika. Podatność została naprawiona w wersji 1.0.216.

Ocena ryzyka

Atakujący może zdalnie wykonywać polecenia na maszynie użytkownika, co prowadzi do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaleca się natychmiastową aktualizację OpenCode do wersji 1.0.216 lub nowszej.

Inne podatności w OpenCode

CVE-2026-88624Krytyczne
W komponencie Worktree.remove w openCode w wersji 1.18.26 brakuje walidacji ścieżki. Atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego rekurencyjnego usunięcia katalogów.

Oryginalny opis (angielski, źródło NVD)

OpenCode is an open source AI coding agent. Prior to 1.0.216, OpenCode automatically starts an unauthenticated HTTP server that allows any local process (or any website via permissive CORS) to execute arbitrary shell commands with the user's privileges. This vulnerability is fixed in 1.0.216.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS