PT-2026-2315 · Opencode · Opencode

Cybershadow · Publicado 2026-01-12 · Atualizado 2026-04-01 · CVE-2026-22812

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas OpenCode versões anteriores a 1.0.216

Descrição OpenCode, um agente de codificação de IA de código aberto, apresenta um problema em que inicia automaticamente um servidor HTTP sem autenticação. Isso permite que qualquer processo local ou qualquer site, devido às configurações CORS permissivas, execute comandos de shell arbitrários com os privilégios do usuário que executa o aplicativo. A vulnerabilidade permite a execução remota de código. O problema está relacionado à falta de autenticação para uma função crítica.

O endpoint vulnerável é /session/{id}/shell, onde id é um identificador de sessão. A exploração envolve enviar uma solicitação POST para este endpoint sem autenticação alguma, permitindo a execução direta de comandos.

Recomendações Atualize o OpenCode para a versão 1.0.216 ou posterior.

Exploit

Correção

RCE

Missing Authentication

Enumeração de Fraquezas

CWE-942

CWE-749

CWE-306

Identificadores relacionados

BDU:2026-00783

CVE-2026-22812

GHSA-VXW4-WV6M-9HHH

Produtos afetados

Opencode

Referências · 22

• 🔥 https://github.com/anomalyco/opencode/security/advisories/GHSA-vxw4-wv6m-9hhh · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22812.json · Exploit
• https://github.com/anomalyco/opencode · Nota
• https://github.com/anomalyco/opencode/commit/7d2d87fa2c44e32314015980bb4e59a9386e858c · Nota
• https://twitter.com/IamNarahariDasa/status/2039342016245407872 · Publicação no Twitter
• https://twitter.com/DarkWebInformer/status/2015130955107721377 · Publicação no Twitter
• https://t.me/cveNotify/149395 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2010853017487057404 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-vxw4-wv6m-9hhh · Aviso do Fabricante
• https://twitter.com/DarkWebInformer/status/2012324698059632862 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22812 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-22812 · Aviso do Fabricante
• https://twitter.com/pdnuclei_bot/status/2018791637145821224 · Publicação no Twitter
• https://twitter.com/0x0smilex/status/2017359834992017900 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2010875963437953231 · Publicação no Twitter