CVE-2026-6819
WysokieStreszczenie
HKUDS OpenHarness przed poprawką PR #156 domyślnie udostępnia polecenia cyklu życia wtyczek, takie jak /plugin install, /plugin enable, /plugin disable oraz /reload-plugins, zdalnym nadawcom. Atakujący, którzy uzyskają dostęp przez warstwę kanałową, mogą zdalnie zarządzać zaufaniem wtyczek i stanem aktywacji, co umożliwia nieautoryzowaną instalację i aktywację wtyczek w systemie.
Ocena ryzyka
Organizacja jest narażona na ryzyko nieautoryzowanej instalacji i aktywacji wtyczek, co może prowadzić do poważnych naruszeń bezpieczeństwa systemu. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się zastosowanie najnowszej wersji HKUDS OpenHarness z poprawką PR #156 oraz ograniczenie dostępu do poleceń cyklu życia wtyczek tylko do zaufanych źródeł. Należy również monitorować i audytować aktywność wtyczek w systemie.
Inne podatności w HKUDS OpenHarness
Zobacz wszystkie- CVE-2026-7551Wysokie
HKUDS OpenHarness zawiera podatność na zdalne wykonanie kodu w poleceniu /bridge, która pozwala zdalnym nadawcom na wykonywanie dowolnych poleceń systemowych. Atakujący mogą użyć polecenia /bridge spawn z kontrolowanym przez siebie tekstem polecenia, co prowadzi do wykonania tych poleceń przez menedżera sesji mostka.
- CVE-2026-6823Wysokie
HKUDS OpenHarness przed poprawką PR #147 zawiera podatność na niebezpieczną domyślną konfigurację, w której zdalne kanały dziedziczą ustawienie allow_from = ["*"] umożliwiające dowolnym zdalnym nadawcom przechodzenie kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
HKUDS OpenHarness prior to PR #156 remediation exposes plugin lifecycle commands including /plugin install, /plugin enable, /plugin disable, and /reload-plugins to remote senders by default. Attackers who gain access through the channel layer can remotely manage plugin trust and activation state, enabling unauthorized plugin installation and activation on the system.