p PatchFirst

CVE-2026-22813

CVE-2026-22813 · Malicious website can execute commands on the local system through XSS in the OpenCode web UI

CVSS 9.4 · Критический · EPSS 0,9% · Есть исправление

Затронуты ли вы?

  • opencodeНет опубликованного исправления
  • opencode-ai npmОбновитесь до 1.1.10

Как узнать установленную версию:

npm ls opencode-ai

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания opencode и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenCode is an open source AI coding agent. The markdown renderer used for LLM responses will insert arbitrary HTML into the DOM. There is no sanitization with DOMPurify or even a CSP on the web interface to prevent JavaScript execution via HTML injection. This means controlling the LLM response for a chat session gets JavaScript execution on the http://localhost:4096 origin. This vulnerability is fixed in 1.1.10.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • opencode

    Версии
    • < 1.1.10: Затронуто

    Нет опубликованного исправления

  • opencode-ai npm

    Затронутые диапазоны версий
    • SEMVER: < 1.1.10

    Обновитесь до 1.1.10

Первоисточники

Проверьте свой сервер →