CVE-2026-110768
Beschrijving NL
holaOS tot en met 2026.822.1 bevat een kwetsbaarheid voor het omzeilen van autorisaties in de Telegram-connector van de kanaalpoort die afzenders autoriseert op basis van een veranderlijke gebruikersnaam in plaats van alleen een numerieke id. Aanvallers die een vrijgegeven gebruikersnaam registreren die wordt vermeld in allowFrom, kunnen beurten indienen bij de gebonden werkruimteagent, die geconfigureerde tools uitvoert op de machine van de operator.
Origineel (Engels) tonen
holaOS through 2026.822.1 contains an authorization bypass vulnerability in the channel-gateway Telegram connector that authorizes senders by mutable username rather than only numeric id. Attackers who register a released username listed in allowFrom can submit turns to the bound workspace agent, which runs configured tools on the operator's machine.