एक दुर्भावनापूर्ण वेबसाइट OpenCode वेब UI में XSS के माध्यम से स्थानीय सिस्टम पर कमांड निष्पादित कर सकती है

यह भेद्यता हमलावरों के लिए स्थानीय सिस्टम पर पूर्ण नियंत्रण प्राप्त करने का मार्ग खोलती है। हमलावर XSS का उपयोग करके उपयोगकर्ता को दुर्भावनापूर्ण स्क्रिप्ट चलाने के लिए प्रेरित कर सकते हैं, जो तब /pty/ एंडपॉइंट्स के माध्यम से सिस्टम कमांड निष्पादित कर सकता है। यह डेटा चोरी, सिस्टम समझौता, या अन्य दुर्भावनापूर्ण गतिविधियों का कारण बन सकता है। इस भेद्यता का शोषण करने के लिए हमलावर को केवल एक दुर्भावनापूर्ण वेबसाइट तक पहुंच की आवश्यकता होती है जिसे पीड़ित उपयोगकर्ता द्वारा देखा जाता है। यह भेद्यता Log4Shell जैसे शोषण पैटर्न के समान है, जहां एक प्रारंभिक भेद्यता का उपयोग सिस्टम पर उच्च विशेषाधिकार प्राप्त करने के लिए किया जाता है।

Organizations utilizing OpenCode AI for local development or testing environments are particularly at risk, especially if the web UI is exposed to the internet or untrusted networks. Shared hosting environments where multiple users have access to the OpenCode instance are also vulnerable.

• nodejs / server: Monitor process execution for unexpected commands originating from the OpenCode AI process. Use ps aux | grep opencode to identify running instances and their associated commands. • generic web: Examine access logs for requests containing suspicious URL parameters attempting to override the server URL. Look for patterns like http://malicious.com?url=.... • generic web: Check response headers for signs of XSS payloads or unexpected behavior after submitting input to the server URL override feature. Use curl -I http://localhost:4096 to inspect headers.

1. 2026-01-13Disclosure

   disclosure

1. आरक्षित2026-01-09
2. प्रकाशित2026-01-13
3. संशोधित2026-02-03
4. EPSS अद्यतन2026-03-23

CVE-2026-22813 को कम करने के लिए, OpenCode AI को तुरंत संस्करण 1.1.10 में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो वेब UI में सर्वर URL ओवरराइड सुविधा को अक्षम करने पर विचार करें। एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके XSS हमलों को ब्लॉक किया जा सकता है। इसके अतिरिक्त, /pty/ एंडपॉइंट्स तक पहुंच को केवल विश्वसनीय स्रोतों तक सीमित करें। जांच करें कि क्या कोई अनधिकृत प्रक्रियाएं चल रही हैं और असामान्य नेटवर्क गतिविधि की निगरानी करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, /pty/ एंडपॉइंट्स के माध्यम से कमांड निष्पादित करने का प्रयास करके सत्यापित करें।