CVE-2026-108722
Vulnérabilité moyenne dans open-computer-use (e2b-dev)
CVSS 4.2 · Moyenne
EPSS 0.2%
e2b-dev•open-computer-use•Versions : 0, <=610bac85d242b2fdf43fbe36bce2348658a2d4c9
Description
open-computer-use through commit 610bac8 contains a stored cross-site scripting vulnerability in Logger.write_log_file in os_computer_use/logging.py, which writes transcript text into log.html without HTML escaping. Attackers controlling sandbox content, such as web pages or files appearing in run_command output, can inject script that runs when operators open the log, exfiltrating transcript contents.
Gravité et risque d'exploitation
CVE-2026-108722 obtient un score CVSS de 4.2/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.24 %, ce qui la place devant 14.6 % des CVE référencées.
Que faire ?
- Vérifiez si open-computer-use (versions 0, <=610bac85d242b2fdf43fbe36bce2348658a2d4c9) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://hackmd.io/@haind03/e2b-open-computer-use-html-log-injection
- https://github.com/e2b-dev/open-computer-use/blob/610bac85d242b2fdf43fbe36bce2348658a2d4c9/os_computer_use/logging.py#L60-L82
- https://github.com/e2b-dev/open-computer-use/blob/610bac85d242b2fdf43fbe36bce2348658a2d4c9/os_computer_use/sandbox_agent.py#L25-L35
- https://github.com/e2b-dev/open-computer-use
- https://www.vulncheck.com/advisories/open-computer-use-through-commit-610bac8-stored-xss-via-log-html-session-log