p PatchFirst

CVE-2026-53869

CVE-2026-53869 · Hermes Agent < 0.16.0 - DNS Rebinding Bypass via WebSocket Endpoints

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Hermes Agent before 0.16.0 contains a DNS rebinding vulnerability in WebSocket endpoints that allows remote attackers to bypass Host and Origin validation. FastAPI HTTP middleware does not execute for WebSocket upgrade requests on /api/pty, /api/ws, /api/pub, and /api/events endpoints, enabling attackers to exploit DNS rebinding and inject malicious commands or read terminal output.

CVSS 8.7 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • hermes-agent

    Версии
    • ≥ 0, < 0.16.0: Затронуто (semver)
    • 0.16.0: Не затронуто (semver)

    Обновитесь до 0.16.0

  • hermes-agent PyPI

    Версии
    • 0.13.0
    • 0.14.0
    • 0.15.0
    • 0.15.1
    • 0.15.2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.16.0

    Обновитесь до 0.16.0

Первоисточники

Проверьте свой сервер →