- kieran2026-08-20
https://github.com/deepseek-ai/deepseek-harness/releases/tag/dsh-v0.1.0-rc.8
rc-8版本 上了，多模态支持了。但是公司说有问题让卸载（新版本好像没有修复安全问题） ^-^：
漏洞描述：DeepSeek Harness（以下简称 DSH）自带的 Web 管理页面默认未配置任何身份认证（鉴权）机制。只要该 Web 服务被监听、且能够被外部网络访问（典型场景是对公网开放，或绑定到 0.0.0.0 并映射到公网），任意攻击者无需任何账号或口令即可直接访问并操作该管理界面。由于该界面具备操作主机文件系统、执行命令调度、管理会话与后端服务等能力，一旦暴露，攻击者可从"未授权访问管理页"进一步升级为主机被控（RCE）、敏感信息泄露（会话数据/环境变量/AI 密钥）、服务提权与横向渗透等一系列高危危害。
影响产品或组件及版本：DeepSeek Harness（DeepSeek Agent Software Harness，开源 Agent 框架）
…
请有下载这个客户端的同事卸载掉主楼 - Scheme2026-08-20
- 番茄🍅2026-08-20
哇去，这个也算漏洞？？不明觉厉，要卸载就卸载吧，虽然不懂
- zc_Y2026-08-20
这算哪门子漏洞呀，主要还是小白，改个0000直接丢公网上去了 ^-^
- mantest2026-08-20
话说部署该不会自己部署吧？让AI部署然后要注意安全漏洞的补一句应该不至于被人这么扫到吧？
- 你怎么这么坏2026-08-20
这也不算漏洞啊，正常使用，我记得dsh是在代码层面就禁止0.0.0.0访问了，只能127.0.0.1进行访问
- greatzdl2026-08-20
我也觉得 太扯了啊，只能算操作不当
- Aranoch2026-08-20
我记得启动后监听的是127.0.0.1，难不成自己改了监听0.0.0.0还把端口映射到公网了？
yhage2026-08-20配置好不对公网开放，不行吗，有办法解决安全问题，为何还要禁止，是担心还有没有被发现的安全问题吗？
- jjj1242026-08-20
认证都没有 这做的太糙了 不如搞好再放出来^-^
- Scheme2026-08-20
- Kyecox2026-08-20
无所谓啊,哪怕没漏洞,公司要求你干啥你还能不干吗
- Galaxy112026-08-20
笑死 昨天在小红书上刷到一个用qwen捉dsh漏洞的人 也提到了这个 给出的全是一些自慰的东西 还挺暗暗自喜
- deepcake2026-08-20
Hermes以前也没鉴权，后来才加上的。
- 白学森2026-08-20
默认不监听0.0.0.0的，不能算糙吧
nick_glod2026-08-20这又不上云怕毛线呀，这主管是不是了解不多啊，上云不是0.0.0.0全放就行了，弄个nginx自己设一个鉴权就行