CVE-2026-19022

ŚrednieCVSS 6.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.29%

Percentyl 68 - wyżej niż 68% wszystkich znanych CVE

Streszczenie

W OpenHands do wersji 0.62.0 wykryto podatność na wstrzykiwanie poleceń w funkcji initialize_repo pliku OpenHands/resolver/send_pull_request.py. Atak może być przeprowadzony zdalnie. Producent usunął oryginalny raport na GitHubie, a dotknięty plik został usunięty w wersji 1.7.0.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne polecenia w kontekście aplikacji, co może prowadzić do przejęcia systemu lub naruszenia danych.

Rekomendacja

Zaktualizuj OpenHands do wersji 1.7.0 lub nowszej, jeśli to możliwe. Jeśli nie, ogranicz dostęp do aplikacji i monitoruj logi pod kątem podejrzanych działań.

Inne podatności w OpenHands

CVE-2026-122236Średnie
W OpenHands do wersji 1.24.0 wykryto podatność w nieznanej funkcji komponentu Landing Page, polegającą na braku uwierzytelniania. Atak musi być przeprowadzony z poziomu sieci lokalnej, a exploit został publicznie ujawniony i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in OpenHands up to 0.62.0. The affected element is the function initialize_repo of the file OpenHands/resolver/send_pull_request.py. This manipulation causes command injection. Remote exploitation of the attack is possible. The vendor deleted the original GitHub issue report. It appears that the affected path/file got removed in version 1.7.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS