CVE-2026-122236

ŚrednieCVSS 6.3

Opublikowano: 05/11/2026(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

W OpenHands do wersji 1.24.0 wykryto podatność w nieznanej funkcji komponentu Landing Page, polegającą na braku uwierzytelniania. Atak musi być przeprowadzony z poziomu sieci lokalnej, a exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Brak uwierzytelniania w komponencie Landing Page może pozwolić atakującemu z sieci lokalnej na nieautoryzowany dostęp do funkcji aplikacji, co stwarza ryzyko naruszenia danych i dalszej eksploatacji.

Rekomendacja

Zaktualizuj OpenHands do wersji 1.25.0, która zawiera poprawkę (commit c5efa3ae415def0a903c82d2b17b748e663b1995). Ogranicz dostęp do aplikacji z sieci lokalnej do zaufanych hostów.

Inne podatności w OpenHands

CVE-2026-19022Średnie
W OpenHands do wersji 0.62.0 wykryto podatność na wstrzykiwanie poleceń w funkcji initialize_repo pliku OpenHands/resolver/send_pull_request.py. Atak może być przeprowadzony zdalnie. Producent usunął oryginalny raport na GitHubie, a dotknięty plik został usunięty w wersji 1.7.0.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in OpenHands up to 1.24.0. This impacts an unknown function of the component Landing Page. Such manipulation leads to missing authentication. The attack must be carried out from within the local network. The exploit has been disclosed to the public and may be used. Upgrading to version 1.25.0 will fix this issue. The name of the patch is c5efa3ae415def0a903c82d2b17b748e663b1995. Upgrading the affected component is recommended.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS