PT-2026-2316 · Opencode · Opencode

Albertspedersen · Publicado 2026-01-12 · Atualizado 2026-03-05 · CVE-2026-22813

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas OpenCode versões anteriores a 1.1.10

Descrição O software é um agente de codificação de IA de código aberto. O renderizador de markdown utilizado para respostas de modelos de linguagem de grande porte insere HTML arbitrário no Document Object Model (DOM) sem sanitização. Não há uma Política de Segurança de Conteúdo (CSP) implementada na interface web para impedir a execução de JavaScript por meio de injeção de HTML. Isso permite que um atacante controle a resposta do modelo de linguagem de grande porte para uma sessão de chat e execute JavaScript na origem 'http://localhost:4096'.

Recomendações Atualize para a versão 1.1.10 ou posterior.

Exploit

Correção

RCE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-22813

GHSA-C83V-7274-4VGP

Produtos afetados

Opencode

Referências · 14

• 🔥 https://github.com/anomalyco/opencode/security/advisories/GHSA-c83v-7274-4vgp · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22813.json · Exploit
• https://github.com/anomalyco/opencode · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-22813 · Nota de Segurança
• https://twitter.com/pulsepatchio/status/2011448399745499146 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2010848265776820455 · Publicação no Twitter
• https://twitter.com/elagentecapital/status/2029101397212385405 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2010853016505565494 · Publicação no Twitter
• https://twitter.com/capxel_security/status/2029270888231666109 · Publicação no Twitter
• https://t.me/cveNotify/149396 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-22813 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2010873403624882265 · Publicação no Twitter
• https://twitter.com/wastelandweekly/status/2029364198874951712 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-c83v-7274-4vgp · Aviso do Fabricante