CVE-2026-114108
Kritik
Açıklama
0.1.0 ile 0.1.7 arasındaki HKUDS Vibe-Trading sürümleri, API_AUTH_KEY ayarlanmadığında require_auth() fonksiyonunun erken dönmesi nedeniyle kimlik doğrulaması yapılmamış saldırganların FastAPI yüzeyine erişmesine izin veren bir kimlik doğrulama eksikliği zafiyeti içermektedir. Saldırganlar, BashTool aracılığıyla root kabuk komutlarını tetiklemek için /sessions/{id}/messages adresine mesaj gönderebilir, /upload üzerinden .py veya .sh dosyaları yükleyebilir, oturum geçmişlerini okuyabilir ve kısmi API anahtarları elde edebilirler.
ÖnemKritik
CVSS9.8
İstismar olasılığı45. yüzdelik%0,5
ÜrünVibe-trading-ai
Yayın21 Eki 2026
İlk görülme21 Eki 2026
Zayıflık türüCWE-306Kritik işlevde kimlik doğrulama eksikliği
Nasıl düzeltilir
Güncelleyin
- vibe-trading-ai0.1.7 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vibe-trading-aiPyPI | 0.1.0 ≤ v < 0.1.7 | 0.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.