---

📌 Visão Geral

CVE-2026-22812 é uma vulnerabilidade de Execução Remota de Código (RCE) de alta gravidade que afeta versões do OpenCode anteriores a 1.0.216.

O problema existe porque o OpenCode inicia automaticamente um servidor HTTP local não autenticado que pode ser acessado por:

• processos locais maliciosos
• abas do navegador por meio de CORS permissivo
• conteúdo web injetado
• requisições cross-origin para localhost

Isso permite que atacantes executem comandos shell arbitrários com os privilégios do usuário atual

---

🚨 Gravidade

Métrica	Valor
ID do CVE	CVE-2026-22812
Gravidade	Alta
CVSS	8.8
CWE	CWE-306, CWE-749, CWE-942
Tipo de Ataque	Execução Remota de Código
Versão Corrigida	1.0.216+

Fonte: NVD / GitHub Advisory

---

🧠 Causa Raiz Técnica

As versões vulneráveis expõem automaticamente um serviço HTTP em localhost sem autenticação.

Como o serviço também aceita requisições de origens cross-origin permissivas, qualquer página web maliciosa pode disparar requisições como:

POST /session/:id/shell

Isso pode levar a:

• execução arbitrária de comandos
• roubo de credenciais
• exfiltração de código-fonte
• exposição de chaves SSH
• comprometimento de tokens da nuvem
• persistência local

---

💥 Impacto

A exploração bem-sucedida pode resultar em:

• 🔓 Comprometimento total da estação de trabalho do desenvolvedor
• 🗝️ Vazamento de segredos (.env, SSH, tokens de API)
• 📂 Acesso não autorizado ao código-fonte
• ☁️ Sequestro de sessão da CLI da nuvem
• 🧪 Riscos de comprometimento da cadeia de suprimentos
• 🖥️ Execução arbitrária de shell como usuário logado

---

📸 Captura de Tela

---

📦 Versões Afetadas

Vulnerable: < 1.0.216
Safe:       >= 1.0.216

---

🛠️ Mitigação

✅ Correção Recomendada

Atualize imediatamente:

npm update opencode

ou instale uma versão segura:

npm install [email protected]

🧱 Soluções Alternativas Temporárias

Se a atualização não for possível imediatamente:

• restrinja o acesso às portas do localhost
• isole o OpenCode dentro de um container
• bloqueie requisições suspeitas ao localhost
• feche abas do navegador não confiáveis
• rotacione credenciais expostas
• desative o CORS permissivo, se configurável

---

🔍 Dicas de Detecção

Indicadores de possível exploração:

• comandos shell incomuns gerados pelo OpenCode
• requisições POST suspeitas ao localhost
• requisições originadas no navegador para portas do OpenCode
• acesso inesperado a arquivos em diretórios de projetos
• processos filhos anormais no terminal

Telemetria recomendada:

• monitoramento de árvore de processos por EDR
• logs de acesso HTTP do localhost
• auditoria de execução de shell
• telemetria de segurança do navegador

---

🧪 Status da Prova de Conceito

⚠️ Detalhes públicos de exploração existem nas discussões do advisory.

Para divulgação responsável e segurança, evite publicar PoCs armamentizadas em repositórios públicos de produção.

---

📚 Referências

• Advisory NVD Entrada CVE da NVD
• Banco de Dados OSV Entrada OSV
• Advisory do Fornecedor GitHub Security Advisory

---

⚖️ Aviso Legal

Este repositório destina-se a:

• pesquisa de segurança defensiva
• conscientização do blue team
• validação de patches
• gestão de vulnerabilidades
• educação em desenvolvimento seguro

Não use estas informações em sistemas que você não possui ou para os quais não tem permissão de teste.

---