Kurzfassung
In OpenCode Studio steckt vor Version 2.4.4 eine kritische Authentifizierungslücke. Angreifer brauchen dafür kein Konto und keine gültigen Zugangsdaten. Sie können über zwei API-Endpunkte auf Dateien zugreifen und über einen dritten Endpoint sogar Videos löschen.
Für Unternehmen heißt das: Wer OpenCode Studio produktiv oder in internen Workflows nutzt, sollte den Einsatz sofort prüfen und auf 2.4.4 oder eine vom Hersteller freigegebene neuere Version gehen. Die Schwachstelle ist nicht nur ein Lesethema. Sie ermöglicht auch direkten Schaden an Projektdaten.
Was ist passiert?
Die NVD beschreibt CVE-2026-69110 als fehlende Authentifizierung in OpenCode Studio vor 2.4.4. Betroffen sind Endpunkte, die ohne Login erreichbar sind. Darüber lassen sich Dateien aus bestimmten Verzeichnissen auslesen und Videos per ID löschen.
Besonders heikel: Die Lücke betrifft nicht nur einfache Metadaten. Laut Quelle können Angreifer Zwischenstände von Audio-, Video- und Untertitel-Artefakten anderer Nutzer abgreifen. Das ist in Umgebungen mit mehreren Teams oder Mandanten ein echtes Problem.
Technische Details
Die Schwachstelle sitzt in der API. Über GET /api/tmp/:tmpFile und GET /api/music/:fileName lassen sich Dateien direkt abrufen, ohne dass das System eine Authentifizierung verlangt. Zusätzlich akzeptiert DELETE /api/short-video/:videoId Löschanfragen ebenfalls ohne Prüfung der Berechtigung.
Die Quelle nennt als betroffene Bereiche vor allem das temp-Verzeichnis sowie static/music. Dort können laut Beschreibung Dateien gelesen werden, die zu Jobs anderer Nutzer gehören. Dazu zählen Zwischenstände für Audio, Video und Untertitel. Die Einstufung ist CRITICAL.
Ob weitere Verzeichnisse oder zusätzliche API-Routen betroffen sind, geht aus dem NVD-Eintrag nicht hervor. Auch zur Ausnutzung im Feld nennt die Quelle keine Details wie Exploit-Code oder beobachtete Angriffe.
Wer ist betroffen?
Betroffen sind alle Installationen von OpenCode Studio vor Version 2.4.4. Wer die Software selbst hostet, trägt das Risiko direkt. Das gilt für Entwicklungsumgebungen, interne Medien-Workflows und jede Plattform, auf der mehrere Nutzer mit gemeinsamen Artefakten arbeiten.
Für Unternehmen im DACH-Raum ist vor allem die Datenvertraulichkeit relevant. Wenn Teams dort Audio-, Video- oder Untertiteldateien verarbeiten, können interne Inhalte sichtbar werden, bevor sie freigegeben sind. In produktiven Setups kommt noch die Verfügbarkeit dazu: Ein Angreifer kann Videos löschen, ohne sich anzumelden.
Zur Reichweite bei Privatnutzern sagt die Quelle nichts. Falls OpenCode Studio nur in professionellen oder technischen Umgebungen genutzt wird, dürfte der Kreis überschaubar sein. Wer die Software aber in einer kleineren Agentur oder im internen Content-Team betreibt, sollte die Lage ernst nehmen.
Empfohlene Maßnahmen
Priorität eins ist ein Update auf OpenCode Studio 2.4.4 oder eine vom Hersteller benannte neuere Version. Wer den Patch nicht sofort einspielen kann, sollte die betroffenen API-Endpunkte serverseitig abschotten oder die Instanz vorübergehend vom Netz nehmen. Ein bloßes Verstecken hinter einem Reverse Proxy reicht nicht, wenn die Anfrage intern weiter durchgereicht wird.
Admins sollten außerdem prüfen, ob in den temp– und static/music-Verzeichnissen ungewöhnliche Zugriffe oder fehlgeschlagene Löschversuche auftauchen. Logdaten aus Webserver, API-Gateway und Applikation gehören zusammen ausgewertet. Wer mehrere Nutzer auf derselben Instanz betreibt, sollte den Zugriff bis zum Patch auf vertrauenswürdige Gruppen begrenzen.
Nach dem Update lohnt sich ein kurzer Reality-Check: Lassen sich die betroffenen Endpunkte nur noch mit gültiger Authentifizierung aufrufen? Können unberechtigte Nutzer weder lesen noch löschen? Genau diese Basishärtung verhindert, dass aus einer bekannten Lücke ein dauerhafter Schaden wird.
Einschätzung von CyberSecurity-News.de
Die Lage ist klar und unschön. Eine fehlende Authentifizierung an einer Datei-API ist kein Randproblem, sondern ein handfester Kontrollverlust. Dass sich darüber auch Inhalte anderer Nutzer und sogar ganze Videos löschen lassen, macht die Lücke deutlich ernster als reine Informationsabflüsse.
Was fehlt, ist mehr Kontext zur Verbreitung und zu möglichen Angriffen in freier Wildbahn. Der Herstellerstand, ob nur bestimmte Deployments oder Konfigurationen betroffen sind, bleibt in der NVD-Beschreibung offen. Trotzdem braucht es hier keine lange Debatte: Wer OpenCode Studio vor 2.4.4 einsetzt, sollte sofort handeln.
Fazit
CVE-2026-69110 ist für Betreiber von OpenCode Studio ein dringender Patch-Fall. Die Lücke erlaubt unberechtigten Zugriff auf Dateien und das Löschen von Videos, ohne Login und ohne erkennbare Hürde. Für produktive Umgebungen ist das kritisch.
Wer die Software im Einsatz hat, sollte Version und Betriebsmodell jetzt prüfen, Logs sichern und die Aktualisierung priorisieren. Je stärker mehrere Nutzer oder Teams dieselbe Instanz teilen, desto höher ist das Risiko.
Quellenangabe
National Vulnerability Database (NVD): CVE-2026-69110
