CVE-2026-82533
Təsvir
0.1.2-alpha.1 versiyasından əvvəlki DeepSeek Harness, aktual TCP bağlantısının mənbəyini yoxlamaq əvəzinə müştəri tərəfindən təqdim edilən loopback Host başlığını qəbul etməklə, lokal HTTP agent-control API-na autentifikasiyasız giriş imkanı verən autentifikasiyadan yan keçmə boşluğu ehtiva edir. Defolt konfiqurasiyada, məhdudlaşdırılmış alət tərəfindən icra olunan proses heç bir port açılması olmadan loopback API-na çata bilər və ondan öz ƏS qumcuvasından (sandbox) çıxmaq, məhdudiyyətsiz icraya keçərək imtiyazlarını yüksəltmək və təsdiq sorğusunu deaktiv etmək üçün istifadə edə bilər. Port tunel, SSH yönləndirməsi və ya reverse proxy vasitəsilə kənardan əlçatan olduqda, uzaqdakı hücumçu eyni boşluqdan istifadə edərək kimlik məlumatları olmadan sessiyalar yarada, ixtiyari əmrləri icra edə və saxlanılan söhbət transkriptlərini sızdıra bilər.
Necə düzəltmək olar
- @deepseek-ai/dsh-client-connection0.1.2-alpha.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @deepseek-ai/dsh-client-connectionnpm | v < 0.1.2-alpha.1 | 0.1.2-alpha.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.