何が起きたか
NVD RESTで検証済み（2026-10-16公開、CVSS 8.1、高）。エージェントハーネスの認証なしTelegram OAuthループバックエンドポイントは、オリジン/フェッチメタデータの検証なしで呼び出し元から提供されたワンタイムトークンを消費し、実行中のローカルエージェントのCSRFセッションハイジャックを可能にする。
なぜ重要か
これは、ユーザーのエージェントメモリとメッセージングチャネルを保持するエージェントハーネスのセッション侵害である。単一の悪意のあるページが、進行中のエージェントの作業を攻撃者のアカウントに静かにルーティングし、被害者がセッションが無傷であると信じている間に、攻撃者がプロンプト、メモリ書き込み、Telegramコンテンツを観察できるようにする—エージェント型パーソナルコンピューティングデプロイメントに対する直接的なプロンプトからエージェントへのアイデンティティ攻撃である。
攻撃経路
認証なしのGET /auth/telegramループバックコールバックに対するクロスサイトリクエストフォージェリ（CWE-352/384）：telegram_auth_handlerは攻撃者が供給したワンタイムTelegramログイントークンを消費し、ブラウザのフェッチメタデータやリクエストオリジンを検証せずに返されたJWTを保存する。ローカルコアの実行中に被害者が悪意のあるページを訪問すると、セッションが攻撃者のアカウントに切り替えられ、その後のすべてのエージェントアクションとメモリが攻撃者に見えるようになる。
影響を受けるシステム
OpenHuman (tinyhumansai/openhuman) < 0.56.0
緩和策
OpenHuman 0.56.0（修正コミットb1bbc53、GHSA-c4m9-hw7m-vv3m）にアップグレードする。パッチが適用されるまで、コアの実行中に信頼できないサイトを閲覧しないか、ループバックコールバックをバインド/ガードすること。