FICHE CVE

CVE-2026-22812

Publiée le 2026-01-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenCode antérieures à la 1.0.216 exécutent un serveur HTTP non authentifié qui permet à un attaquant d'exécuter des commandes shell arbitraires avec vos privilèges d'utilisateur. Cela peut être déclenché par n'importe quel processus local ou en vous incitant à visiter un site web malveillant qui envoie une requête au serveur local. Comme cette faille ne nécessite aucune authentification et présente une faible complexité, le principal obstacle réside dans la nécessité pour l'utilisateur d'interagir avec un site malveillant ou d'exécuter un script local malveillant.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Publiée2026-01-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenCode is an open source AI coding agent. Prior to 1.0.216, OpenCode automatically starts an unauthenticated HTTP server that allows any local process (or any website via permissive CORS) to execute arbitrary shell commands with the user's privileges. This vulnerability is fixed in 1.0.216.