CVE-2026-110769
Beschrijving NL
holaOS tot en met 2026.822.1 bevat een ontbrekende autorisatiekwetsbaarheid in channel-gateway-connectoren waarmee elke gebruiker van het berichtenplatform agenttaken kan indienen omdat de controle # isAllowed alle afzenders accepteert wanneer de standaard AllowFrom-lijst leeg is. Aanvallers die de Telegram, Slack, Discord of andere bot van de operator een bericht kunnen sturen, kunnen de ChannelIngress.handle-pas naar de werkruimteagent laten draaien, waarbij geconfigureerde tools op de machine van de operator worden uitgevoerd.
Origineel (Engels) tonen
holaOS through 2026.822.1 contains a missing authorization vulnerability in channel-gateway connectors that allows any messaging-platform user to submit agent tasks because the #isAllowed check accepts all senders when the default allowFrom list is empty. Attackers who can message the operator's Telegram, Slack, Discord, or other bot can have ChannelIngress.handle pass turns to the workspace agent, running configured tools on the operator's machine.