CVE-2026-69110
KrytyczneCVSS 9.1Streszczenie
OpenCode Studio przed wersją 2.4.4 zawiera podatność polegającą na braku uwierzytelnienia, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt dowolnych plików w katalogach temp i static/music poprzez bezpośredni dostęp do endpointów GET /api/tmp/:tmpFile i GET /api/music/:fileName. Atakujący mogą również usuwać dowolne wideo po ID przez nieuwierzytelniony endpoint DELETE /api/short-video/:videoId.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych plików innych użytkowników oraz usuwać zasoby, co może prowadzić do naruszenia prywatności i integralności danych.
Rekomendacja
Zaktualizuj OpenCode Studio do wersji 2.4.4 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
OpenCode Studio before 2.4.4 contains a missing authentication vulnerability that allows unauthenticated remote attackers to read arbitrary files within the temp and static/music directories by directly accessing the GET /api/tmp/:tmpFile and GET /api/music/:fileName endpoints. Attackers can retrieve intermediate audio, video artifacts, and subtitles belonging to other users' jobs, and additionally delete any video by ID through the unauthenticated DELETE /api/short-video/:videoId endpoint.