Apa yang terjadi
Dipublikasikan 3 Sept 2026 (CVSS 7.3), diungkapkan via VulDB, bagian dari cluster kelemahan Hermes Agent yang lebih luas diungkapkan dalam jendela ini bersama GitSpawn RCE terpisah (CVE-2026-71963).
Mengapa penting
Dikombinasikan dengan GitSpawn RCE dan temuan SSRF yang diungkapkan bersamaan, ini mencerminkan pola yang lebih luas dari utang keamanan di Hermes Agent, sebuah kerangka kerja AI agent yang aktif digunakan yang vendornya lambat/tidak responsif terhadap berbagai pengungkapan keamanan bersamaan.
Vektor serangan
Fungsi _sess_nowait di s71.py menangani argumen session_id dengan salah, memungkinkan bypass otorisasi jarak jauh dari kontrol manajemen sesi.
Sistem yang terdampak
NousResearch hermes-agent 0.18.0
Mitigasi
Perbarui ke rilis Hermes Agent yang sudah diperbaiki saat tersedia; vendor tidak responsif terhadap upaya kontak keamanan per pengungkapan GitSpawn terkait.