---

📌 Resumen

CVE-2026-22812 es una vulnerabilidad de Ejecución Remota de Código (RCE) de alta gravedad que afecta a las versiones de OpenCode anteriores a 1.0.216.

El problema radica en que OpenCode inicia automáticamente un servidor HTTP local no autenticado al que se puede acceder mediante:

• procesos locales maliciosos
• pestañas del navegador a través de CORS permisivo
• contenido web inyectado
• solicitudes de origen cruzado a localhost

Esto permite a los atacantes ejecutar comandos shell arbitrarios con los privilegios del usuario actual

---

🚨 Gravedad

Métrica	Valor
ID de CVE	CVE-2026-22812
Gravedad	Alta
CVSS	8.8
CWE	CWE-306, CWE-749, CWE-942
Tipo de ataque	Ejecución Remota de Código
Versión corregida	1.0.216+

Fuente: NVD / GitHub Advisory

---

🧠 Causa Raíz Técnica

Las versiones vulnerables exponen automáticamente un servicio HTTP en localhost sin autenticación.

Debido a que el servicio también acepta solicitudes de orígenes cruzados permisivos, cualquier página web maliciosa puede desencadenar solicitudes como:

POST /session/:id/shell

Esto puede provocar:

• ejecución arbitraria de comandos
• robo de credenciales
• exfiltración de código fuente
• exposición de claves SSH
• compromiso de tokens en la nube
• persistencia local

---

💥 Impacto

Una explotación exitosa puede resultar en:

• 🔓 Compromiso total de la estación de trabajo del desarrollador
• 🗝️ Fuga de secretos (.env, SSH, tokens de API)
• 📂 Acceso no autorizado al código fuente
• ☁️ Secuestro de sesiones de CLI en la nube
• 🧪 Riesgos de compromiso de la cadena de suministro
• 🖥️ Ejecución arbitraria de shell como usuario conectado

---

📸 Captura de pantalla

---

📦 Versiones Afectadas

Vulnerable: < 1.0.216
Safe:       >= 1.0.216

---

🛠️ Mitigación

✅ Corrección Recomendada

Actualice inmediatamente:

npm update opencode

o instale una versión segura:

npm install [email protected]

🧱 Soluciones Temporales

Si la actualización no es posible de inmediato:

• restrinja el acceso a los puertos de localhost
• aisle OpenCode dentro de un contenedor
• bloquee las solicitudes sospechosas a localhost
• cierre las pestañas del navegador no confiables
• rote las credenciales expuestas
• deshabilite el CORS permisivo si es configurable

---

🔍 Consejos de Detección

Indicadores de posible explotación:

• comandos shell inusuales generados por OpenCode
• solicitudes POST sospechosas a localhost
• solicitudes originadas en el navegador hacia los puertos de OpenCode
• acceso inesperado a archivos en los directorios del proyecto
• procesos hijo anormales en la terminal

Telemetría recomendada:

• monitoreo del árbol de procesos de EDR
• registros de acceso HTTP de localhost
• auditoría de ejecución de shell
• telemetría de seguridad del navegador

---

🧪 Estado de la Prueba de Concepto

⚠️ Existen detalles públicos de explotación en las discusiones del aviso.

Por divulgación responsable y seguridad, evite publicar PoCs armados en repositorios públicos de producción.

---

📚 Referencias

• Aviso de NVD Entrada de CVE de NVD
• Base de datos OSV Entrada de OSV
• Aviso del proveedor Aviso de Seguridad de GitHub

---

⚖️ Descargo de Responsabilidad

Este repositorio está destinado a:

• investigación de seguridad defensiva
• concientización del blue team
• validación de parches
• gestión de vulnerabilidades
• educación en desarrollo seguro

No utilice esta información en sistemas que no posea o para los que no tenga permiso de pruebas.

---