Le SDK OpenHands liait par défaut le port du bac à sable à toutes les interfaces, offrant une RCE root sans authentification

La CVE-2026-112346, publiée le 26 octobre 2026 et cotée CVSS 9.8, révèle que les lanceurs DockerWorkspace et Apptainer du SDK OpenHands exposaient le serveur du bac à sable sur 0.0.0.0 avec l’authentification désactivée par défaut. Passez à la version 1.52.0, qui confine le port sur la boucle locale, et vérifiez qu’aucun bac à sable n’est resté joignable depuis Internet.