CVE-2026-88624

KrytyczneCVSS 9.1

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W komponencie Worktree.remove w openCode w wersji 1.18.26 brakuje walidacji ścieżki. Atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego rekurencyjnego usunięcia katalogów.

Ocena ryzyka

Możliwe jest nieodwracalne usunięcie danych z systemu plików, co prowadzi do utraty danych i przerwania działania usługi.

Rekomendacja

Zaktualizuj openCode do wersji zawierającej poprawkę lub ogranicz dostęp do funkcji Worktree.remove wyłącznie dla zaufanych użytkowników.

Inne podatności w openCode

CVE-2026-22812Wysokie
OpenCode, otwartoźródłowy agent AI do kodowania, przed wersją 1.0.216 automatycznie uruchamia nieuwierzytelniony serwer HTTP, który pozwala dowolnemu lokalnemu procesowi (lub dowolnej stronie internetowej dzięki permisywnej polityce CORS) na wykonywanie dowolnych poleceń powłoki z uprawnieniami użytkownika. Podatność została naprawiona w wersji 1.0.216.

Oryginalny opis (angielski, źródło NVD)

Missing path validation in the Worktree.remove component of openCode v1.18.26 allows attackers to execute arbitrary recursive directory deletion via a crafted payload.