FICHE CVE

CVE-2026-108789

Publiée le 2026-10-12 · Dernière modification le 2026-10-13

🇫🇷 EN BREF

Les utilisateurs du framework `deepseek-harness` (versions 0.1.1-rc.2 et antérieures) sont concernés par une faille dans le thread du worker de flux de travail. Un attaquant distant disposant de privilèges de compte de bas niveau peut forcer un flux de travail comportemental spécifique s'il parvient à inciter un utilisateur à interagir avec un lien ou un fichier malveillant. Bien qu'un exploit public existe, l'impact est limité et nécessite à la fois une authentification et une interaction de l'utilisateur pour être exécuté.

CVSS 4.02.0 FAIBLE

Type de faiblesse

CWE-840 CWE-841

Publiée2026-10-12

Dernière modification2026-10-13

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was identified in deepseek-ai deepseek-harness up to 0.1.1-rc.2. This affects the function agent of the component dsh-workflow-worker-thread. The manipulation leads to enforcement of behavioral workflow. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.