CVE-2026-56696mediumCWE-862

CVE-2026-56696: fallo de gravedad media en HKUDS OpenHarness

OpenHarness - Prompt Injection via /issue and /pr_comments Slash Commands

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear OpenHarness+ Monitorear openharness-ai

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 0.4%
En resumen

OpenHarness permite que atacantes inyecten comandos maliciosos a través de comandos slash en el chat sin protección adecuada, permitiendo agregar contenido dañino a archivos del proyecto que se insertan en los prompts del sistema y alteran el comportamiento del agente local.

Detalle técnico

Vulnerabilidad CWE-862 (Falta de Autorización) en los comandos slash /issue y /pr_comments, que carecen de protección remote_invocable=False, permitiendo que remitentes remotos no autenticados realicen escrituras arbitrarias en .openharness/issue.md y .openharness/pr_comments.md. El Markdown inyectado persiste en los prompts del sistema en tiempo de ejecución, posibilitando ataques persistentes de inyección de prompts que alteran el comportamiento del agente local.

Resumen generado y traducido por IA a partir de la descripción oficial.
OpenHarness /issue and /pr_comments slash commands lack remote_invocable=False protection, allowing remote channel senders to write attacker-controlled Markdown into project context files. Admitted remote attackers can inject malicious content into .openharness/issue.md and .openharness/pr_comments.md files, which are subsequently injected into runtime system prompts, persistently influencing local agent behavior.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
HKUDS · OpenHarness
CVEs relacionadas — HKUDS OpenHarness

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-40502HIGHOpenHarness Remote Administrative Command Injection via Gateway HandlerEPSS 1.7%CVE-2026-7551HIGHHKUDS OpenHarness Remote Command Execution via /bridge Slash CommandEPSS 0.6%CVE-2026-40503HIGHOpenHarness Path Traversal Information Disclosure via /memory showEPSS 0.4%CVE-2026-56695HIGHOpenHarness - Cross-Session Disclosure via /resume and /summary CommandsEPSS 0.4%CVE-2026-6823HIGHHKUDS OpenHarness Insecure Default Remote Channel AllowlistEPSS 0.3%CVE-2026-6819HIGHHKUDS OpenHarness Plugin Management Command ExposureEPSS 0.3%