CVE-2026-108548
WysokieCVSS 7.3Streszczenie
AstronRPA do wersji 1.1.6 zawiera podatność obejścia uwierzytelniania w bramie OpenResty w pliku auth_handler.lua, która akceptuje dowolny token Bearer bez walidacji. Nieuwierzytelnieni atakujący mogą wysyłać dowolne wartości Bearer, aby uzyskać dostęp do tras /api/resource/ i /api/rpa-ai-service/ oraz podszywać się pod nagłówki X-User-Id lub user_id, działając jako dowolny użytkownik.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych zasobów i usług AI, a także możliwość podszywania się pod dowolnego użytkownika, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować AstronRPA do wersji zawierającej poprawkę oraz skonfigurować prawidłową walidację tokenów Bearer w auth_handler.lua. Ograniczyć dostęp do tras API tylko dla uwierzytelnionych użytkowników.
Inne podatności w AstronRPA
Zobacz wszystkie- CVE-2026-108547Średnie
AstronRPA do wersji 1.1.6 zawiera podatność braku sprawdzenia autoryzacji dzierżawy w robot-service, która pozwala uwierzytelnionym użytkownikom na odczyt zmiennych współdzielonych innych dzierżawców przez punkt get-batch-shared-var. Atakujący mogą enumerować sekwencyjne identyfikatory zmiennych współdzielonych i odszyfrować zmienne wszystkich użytkowników, ponownie szyfrując je własnym kluczem dzierżawy, aby odzyskać poświadczenia innych dzierżawców w postaci jawnego tekstu.
- CVE-2026-108159Wysokie
AstronRPA do wersji 1.1.6 zawiera podatność cross-site scripting w oknie czatu smart-component klienta desktopowego. Nieoczyszczone dane wyjściowe modelu LLM są renderowane przez v-html, co pozwala atakującemu zdalnemu wykonać polecenia systemowe przez wstrzyknięcie promptu w stronę internetową i wywołanie nieograniczonego handlera IPC open-path.
- CVE-2026-108160Wysokie
AstronRPA do wersji 1.1.6 zawiera podatność polegającą na pobieraniu kodu bez weryfikacji integralności, co pozwala atakującym sieciowym dostarczyć złośliwe aktualizacje poprzez mechanizm automatycznej aktualizacji klienta desktopowego. Atakujący między klientem a serwerem może podać złośliwy manifest aktualizacji i instalator NSIS, który electron-updater instaluje bez weryfikacji podpisu, wykonując kod jako użytkownik pulpitu.
Oryginalny opis (angielski, źródło NVD)
AstronRPA through 1.1.6 contains an authentication bypass vulnerability in the OpenResty gateway's auth_handler.lua that accepts any Bearer token without validation. Unauthenticated attackers can send arbitrary Bearer values to reach /api/resource/ and /api/rpa-ai-service/ routes and spoof X-User-Id or user_id headers to act as any user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS