PT-2026-36203 · Hkuds · Openharness

Publicado 2026-04-30 · Atualizado 2026-05-02 · CVE-2026-7551

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas HKUDS OpenHarness (versões afetadas não especificadas)

Descrição Um problema de execução remota de código existe no comando slash '/bridge'. Remetentes remotos aceitos pela configuração podem executar comandos arbitrários do sistema operacional. Isso ocorre quando o comando '/bridge spawn' é invocado com texto controlado pelo invasor, que é então encaminhado para o gerenciador de sessão da ponte e executado por meio do auxiliar de subprocesso de shell compartilhado. Isso permite que invasores iniciem sessões de shell como o usuário do processo OpenHarness, obtendo acesso a arquivos locais, credenciais, estado do espaço de trabalho e conteúdos do repositório.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-7551

Produtos afetados

Openharness

Referências · 9

• https://github.com/HKUDS/OpenHarness/pull/208 · Correção
• https://github.com/HKUDS/OpenHarness/commit/438e37309778e19060dfe7b172eb142e543c4cd6 · Correção
• https://vulncheck.com/advisories/hkuds-openharness-remote-command-execution-via-bridge-slash-command · Nota
• https://twitter.com/polsia/status/2050514737532985574 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-7551 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2049982469068177832 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049970623666069517 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1t0susx/new_remote_code_execution_flaw_in_hkuds · Publicação no Reddit
• https://t.me/CVEtracker/52364 · Publicação no Telegram