CVE-2026-110769highCWE-1188

CVE-2026-110769: fallo de gravedad alta en holaboss-ai holaOS

holaOS through 2026.822.1 Missing Authorization in Channel-Gateway Connectors

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear holaOS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 8.3epss 0.3%
holaOS through 2026.822.1 contains a missing authorization vulnerability in channel-gateway connectors that allows any messaging-platform user to submit agent tasks because the #isAllowed check accepts all senders when the default allowFrom list is empty. Attackers who can message the operator's Telegram, Slack, Discord, or other bot can have ChannelIngress.handle pass turns to the workspace agent, running configured tools on the operator's machine.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N
Productos afectados
holaboss-ai · holaOS
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — holaboss-ai holaOS

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-110768MEDIUMholaOS through 2026.822.1 Authorization Bypass via Telegram Connector Username AllowlistEPSS 0.2%