EventPast event
DeepSeek Harness 本地 API 认证绕过漏洞
Start here
AI overview
GitHub 安全公告披露，DeepSeek Harness 0.1.2-alpha.1 之前的版本存在认证绕过漏洞：其本地 HTTP 控制面 API 只校验客户端提供的 Host 头，不校验实际 TCP 连接来源，攻击者可用伪造 Host 头绕过认证。利用该漏洞可调用 commands/execute 等特权命令并获得 danger-full-access 权限，将会话审批策略提升为不受限执行，还能在无任何凭证或 API key 的情况下读取全部已存对话记录。
Generated by AI from reports · Updated 4 days ago
Progress timeline
Oct 8
- GitHub 安全公告SelectedDeepSeek Harness local HTTP control plane API has an authentication bypass vulnerability.
DeepSeek Harness 0.1.2-alpha.1 之前的版本存在认证绕过漏洞，其本地 HTTP 控制面 API 只校验客户端提供的 Host 头，而不校验实际 TCP 连接来源，攻击者可用伪造的 Host 头绕过认证。利用该漏洞可调用 commands/execute 等特权命令并获得 danger-full-access 权限，将会话审批策略提升为不受限执行，还能在没有任何凭证或 API key 的情况下读取全部已存对话记录。
Related discussion
Attention trend
New sources per day
- Oct 8New1 sources (1 outlets,0 accounts)
- Oct 9New0 sources (0 outlets,0 accounts)
- Oct 10New0 sources (0 outlets,0 accounts)
- Oct 11New0 sources (0 outlets,0 accounts)
- Oct 12New0 sources (0 outlets,0 accounts)
- Oct 13New0 sources (0 outlets,0 accounts)