製品・ソフトウェアに関する情報
Vulnerability Search
HKUDSのOpenHarnessにおけるサーバサイドのリクエストフォージェリの脆弱性
Title HKUDSのOpenHarnessにおけるサーバサイドのリクエストフォージェリの脆弱性
Summary

OpenHarnessのコミットbd4df81以前には、web_fetchおよびweb_searchツールにサーバーサイドリクエストフォージェリの脆弱性が存在していました。攻撃者はターゲットアドレスの適切な検証なしにツールのパラメータを操作することで、プライベートおよびローカルホストのHTTPサービスにアクセスすることが可能です。攻撃者はエージェントセッションを操作して、これらのツールをループバック、RFC1918、リンクローカル、またはその他の非公開アドレスに対して実行させることができます。その結果、被害ホストから到達可能なローカル開発サービス、クラウドメタデータエンドポイント、管理パネル、またはその他のプライベートHTTPサービスのレスポンスボディを読み取ることが可能です。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 17, 2026, midnight
Registration Date April 27, 2026, 11:29 a.m.
Last Update April 27, 2026, 11:29 a.m.
CVSS3.0 : 警告
Score 6.3
Vector CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
Affected System
HKUDS
OpenHarness 2026-04-11 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年04月27日]
  掲載		 April 27, 2026, 11:29 a.m.
NVD Vulnerability Information
CVE-2026-40516
Summary

OpenHarness before commit bd4df81 contains a server-side request forgery vulnerability in the web_fetch and web_search tools that allows attackers to access private and localhost HTTP services by manipulating tool parameters without proper validation of target addresses. Attackers can influence an agent session to invoke these tools against loopback, RFC1918, link-local, or other non-public addresses to read response bodies from local development services, cloud metadata endpoints, admin panels, or other private HTTP services reachable from the victim host.

Publication Date April 18, 2026, 2:17 a.m.
Registration Date April 18, 2026, 4:10 a.m.
Last Update April 25, 2026, 5:32 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:hkuds:openharness:*:*:*:*:*:*:*:* 2026-04-11
Related information, measures and tools
Common Vulnerabilities List