A Datadog Security Labs encontrou uma falha no OpenCode, agente de codificação com IA de código aberto que soma 208 mil estrelas no GitHub e 16 milhões de desenvolvedores por mês. Um site malicioso consegue executar código na máquina de quem estiver com o agente em execução.
A falha recebeu o identificador GHSA-632h-h47v-g4x4, sem pedido de CVE. Atinge as versões 1.14.30 a 1.18.21 instaladas por npm, pnpm ou Bun, e foi corrigida na 1.18.22. Os pesquisadores comunicaram o problema de forma privada em 11 de agosto, e o conserto saiu treze dias depois, em 24 de agosto.
O ataque começa com uma página que monta um formulário HTML com o tipo de codificação text/plain. Ao ser visitada, ela envia esse formulário como navegação de nível superior para o endereço local onde o OpenCode escuta.
O formato escolhido é o que desarma as defesas. A requisição escapa das proteções de CORS e de acesso à rede local, e o tratador do OpenCode interpreta o corpo como JSON mesmo com o tipo declarado como texto puro.
O destino é o endpoint de atualização do agente. O parâmetro que indica o alvo aponta para um pacote hospedado pelo atacante, e a instalação executa o script de preinstalação com os privilégios do processo do OpenCode.
A vítima não precisa preencher formulário, autorizar download nem ter JavaScript envolvido. Basta visitar a página com o servidor do agente ativo na própria máquina.
A correção foi publicada em agosto, mas a adoção ficou para trás. Entre 17 e 23 de setembro, 647 mil downloads foram de versões vulneráveis, o equivalente a 38,9% de tudo que o projeto distribuiu naquele intervalo.
