CVE-2026-54141 El canal Yuanbao de OpenHuman puede evadir la aprobación humana y ejecutar node_exec
Antes de 0.57.13, un mensaje directo remoto recibido por un canal Yuanbao configurado se convierte en un AgentTurnRequest genérico que usa la política de herramientas por defecto sin establecer un contexto de aprobación interactivo. Con la política de autonomía Supervised por defecto y Node habilitado, node_exec se clasifica como operación de escritura que debería pedir aprobación, pero ApprovalGate trata la falta de APPROVAL_CHAT_CONTEXT como turno no interactivo y permite la ejecución. Como los mensajes…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,8 % · percentil 55
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
tinyhumansai openhuman
< 0.57.13
Qué hacer
- Verificá si usás openhuman y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.0 CRÍTICA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
OpenHuman is an open-source agent harness available as a desktop application and Rust library. Before 0.57.13, a remote direct message received through a configured Yuanbao channel is converted into a generic channel AgentTurnRequest that uses the default tool policy without establishing an interactive approval context. Under the default Supervised autonomy policy with Node enabled, node_exec is classified as a write operation that should prompt for approval, but ApprovalGate treats missing APPROVAL_CHAT_CONTEXT as a non-interactive turn and allows execution. Because Yuanbao direct messages are open by default, an external sender who can message the connected bot can influence the agent to execute JavaScript and operating-system commands as the OpenHuman user without an approval prompt. The issue requires a configured Yuanbao channel, the default approval-requiring policy state, Node availability, and successful model selection of node_exec. This issue is fixed in version 0.57.13.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.