CVE-2026-55198

Hermes WebUI w wersjach przed 0.51.443 zawiera lukę w kontroli dostępu w punkcie końcowym /api/session, która pozwala uwierzytelnionym użytkownikom na ujawnienie transkryptów sesji z innych profili. Atakujący mogą obejść kontrole granic profili, bezpośrednio zapytując o identyfikatory sesji należące do innych profili.

Hermes WebUI przed wersją 0.51.788 zawiera nieuwierzytelnioną podatność zdalnego wykonania kodu, która umożliwia atakującym wykonanie dowolnych poleceń powłoki poprzez dostęp do punktów końcowych API terminala bez uwierzytelnienia. Atakujący może utworzyć sesję, podłączyć powłokę PTY i wysyłać dowolne polecenia przez punkt końcowy wejścia terminala, co prowadzi do pełnego wykonania poleceń jako użytkownik procesu serwera za pomocą czterech sekwencyjnych żądań HTTP.

Hermes WebUI przed wersją 0.51.307 zawiera podatność polegającą na obejściu uwierzytelnienia, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć ograniczenia IP pochodzenia lokalnego w punktach końcowych dołączania poprzez spreparowanie nagłówka X-Forwarded-For z adresem pętli zwrotnej. Atakujący mogą wykorzystać to obejście do przeprowadzenia fałszowania żądań po stronie serwera (SSRF) wobec wewnętrznych usług, w tym punktów końcowych metadanych chmury, nadpisania konfiguracji dostawcy LLM i kluczy API wartościami kontrolowanymi przez atakującego lub zainicjowania przepływów kodu urządzenia OAuth w celu uzyskania trwałych tokenów dostępu przechowywanych w auth.json.

Hermes WebUI w wersji przed 0.51.409 zawiera lukę w autoryzacji w punktach rejestracji kluczy dostępu, która pozwala nieautoryzowanym atakującym zdalnym na rejestrację dowolnych kluczy dostępu. W przypadku włączenia HERMES_WEBUI_PASSKEY=1 bez istniejących poświadczeń, punkty końcowe POST /api/auth/passkey/register/options i POST /api/auth/passkey/register są dostępne bez autoryzacji.

Hermes WebUI przed wersją 0.51.358 zawiera podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionym zdalnym atakującym na przejęcie początkowej konfiguracji poprzez wysłanie parametru _set_password do API ustawień bez ograniczeń pochodzenia sieciowego. Atakujący z dowolnej osiągalnej sieci mogą wysłać żądanie POST do punktu końcowego ustawień podczas okna pierwszej konfiguracji, aby utrwalić dowolny skrót hasła, uzyskać ważne ciasteczko sesji i zablokować legalnego operatora przed dostępem do własnej instancji.

Podatność w Hermes WebUI przed wersją 0.51.521 pozwala na ominięcie izolacji profili. Podczas importowania sesji przez endpoint /api/session/import, obiekt sesji jest tworzony bez ustawienia profilu, co powoduje, że importowana sesja ma profil null. Ponieważ profil null jest traktowany jako domyślny, użytkownik na profilu domyślnym może wyeksportować transkrypt sesji i użyć jej identyfikatora do odczytu plików z przestrzeni roboczej nazwanego profilu.

Hermes WebUI w wersji przed 0.51.468 zawiera podatność na wyczerpanie zasobów w nieautoryzowanym punkcie końcowym POST /api/onboarding/oauth/start, co pozwala na nieograniczone gromadzenie stanu przepływu w pamięci oraz wątków demona.

Hermes WebUI w wersjach przed 0.51.368 zawiera lukę w autoryzacji w funkcji get_profile_cookie(), która akceptuje nieautoryzowane nazwy profili z ciasteczka hermes_profile. Uwierzytelniony atakujący może sfałszować wartość ciasteczka hermes_profile, aby obejść kontrole autoryzacji oparte na profilach i uzyskać dostęp do sesji, plików oraz zasobów z różnych profili.

W Hermes WebUI przed wersją 0.51.311 stwierdzono podatność na zdalne wykonanie kodu, która umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń poprzez umieszczenie złośliwej konfiguracji Git w pliku .git/config repozytorium obszaru roboczego. Atakujący mogą wykorzystać podprocesy Git w api/workspace_git.py przez wektory takie jak core.fsmonitor, protocol.ext.allow, credential.helper, core.askPass, core.gitProxy lub dziedziczone zmienne środowiskowe, w tym GIT_SSH_COMMAND.

Hermes WebUI przed wersją 0.51.303 zawiera podatność TOCTOU w funkcji git_discard w api/workspace_git.py, umożliwiającą atakującym usunięcie plików poza skonfigurowanym obszarem roboczym poprzez podmianę sprawdzonej ścieżki na dowiązanie symboliczne.