CVE-2026-114108

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.5%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 21 Ekim 2026

HKUDS Vibe-Trading 0.1.0'dan 0.1.7'ye kadar olan sürümlerinde, API_AUTH_KEY ayarlanmamış olduğunda require_auth() işlevinin erken dönüş yapması nedeniyle kimlik doğrulama eksikliği bulunmakta ve bu da kimlik doğrulaması yapılmamış saldırganların FastAPI yüzeyine erişimine izin vermektedir. Saldırganlar, /sessions/{id}/messages adresine mesaj göndererek BashTool aracılığıyla kök kabuk komutlarını tetikleyebilir, /upload adresinden .py veya .sh dosyaları yükleyebilir, oturum geçmişlerini okuyabilir ve kısmi API anahtarlarını elde edebilir.

Orijinal açıklama (İngilizce)

HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root shell commands via BashTool, upload .py or .sh files via /upload, read session histories, and obtain partial API keys.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.