CVE-2026-56695highCWE-862

CVE-2026-56695: falha de alta gravidade em HKUDS OpenHarness

OpenHarness - Cross-Session Disclosure via /resume and /summary Commands

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar OpenHarness+ Monitorar openharness-ai

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.1epss 0.4%
Em resumo

O OpenHarness permite que qualquer pessoa com acesso a canais compartilhados visualize dados salvos de outras usuárias (snapshots de sessão) contendo informações privadas como senhas e arquivos. Isso ocorre porque dois comandos (/resume e /summary) permitem acesso remoto por padrão.

Detalhe técnico

Os comandos /resume e /summary no gateway ohmo do OpenHarness possuem remote_invocable configurado como True por padrão, permitindo que atores remotos autenticados enumerem e carreguem snapshots arbitrários de sessão por ID em canais compartilhados do gateway. Essa vulnerabilidade de divulgação expõe dados sensíveis incluindo prompts privados, credenciais, saídas de ferramentas e caminhos de arquivos de sessões vítimas sem verificações de autorização adicionais.

Resumo gerado e traduzido por IA a partir da descrição oficial.
OpenHarness ohmo gateway /resume and /summary slash commands default remote_invocable to True, allowing admitted remote senders to enumerate and load arbitrary session snapshots by ID. Attackers can exploit this to access victim snapshots containing private prompts, credentials, tool output, and file paths via shared gateway channels.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
HKUDS · OpenHarness
CVEs relacionadas — HKUDS OpenHarness

No mesmo produto, das mais perigosas para as menos.

CVE-2026-40502HIGHOpenHarness Remote Administrative Command Injection via Gateway HandlerEPSS 1.7%CVE-2026-7551HIGHHKUDS OpenHarness Remote Command Execution via /bridge Slash CommandEPSS 0.6%CVE-2026-40503HIGHOpenHarness Path Traversal Information Disclosure via /memory showEPSS 0.4%CVE-2026-56696MEDIUMOpenHarness - Prompt Injection via /issue and /pr_comments Slash CommandsEPSS 0.4%CVE-2026-6823HIGHHKUDS OpenHarness Insecure Default Remote Channel AllowlistEPSS 0.3%CVE-2026-6819HIGHHKUDS OpenHarness Plugin Management Command ExposureEPSS 0.3%