CVE-2026-114108
KrytyczneCVSS 9.8Streszczenie
HKUDS Vibe-Trading od wersji 0.1.0 przed 0.1.7 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do interfejsu FastAPI, ponieważ require_auth() zwraca wcześnie, gdy API_AUTH_KEY nie jest ustawiony. Atakujący mogą wysyłać wiadomości do /sessions/{id}/messages, aby wywołać polecenia powłoki jako root przez BashTool, przesyłać pliki .py lub .sh przez /upload, czytać historie sesji i uzyskiwać częściowe klucze API.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonywać polecenia powłoki jako root, przesyłać złośliwe pliki i uzyskiwać dostęp do danych sesji oraz kluczy API. Prowadzi to do pełnego przejęcia systemu i wycieku poufnych informacji.
Rekomendacja
Zaktualizuj Vibe-Trading do wersji 0.1.7 lub nowszej. Upewnij się, że zmienna API_AUTH_KEY jest zawsze ustawiona, aby wymusić uwierzytelnianie.
Inne podatności w Vibe-Trading
Zobacz wszystkie- CVE-2026-58173Średnie
Podatność typu path traversal w Vibe-Trading przed wersją 0.1.10 pozwala atakującym na zapisywanie plików poza zamierzonym katalogiem głównym pamięci poprzez podanie złośliwej wartości parametru memory_type zawierającej sekwencje nawigacji po ścieżkach. Atakujący mogą manipulować parametrem memory_type w trwałym magazynie pamięci, co powoduje zapis dowolnych plików Markdown w nieprzeznaczonych lokalizacjach w systemie plików.
- CVE-2026-58171Średnie
Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na odczyt i nadpisanie plików run.json poza katalogiem runs. Atakujący może dostarczyć spreparowany identyfikator uruchomienia przez narzędzia MCP swarm, co prowadzi do nieautoryzowanego dostępu do plików.
- CVE-2026-58170Wysokie
Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na wstrzyknięcie ścieżki (path traversal) podczas budowania ścieżki pliku propozycji. Atakujący może dostarczyć identyfikator propozycji zawierający sekwencje nawigacji po katalogach, co powoduje załadowanie kontrolowanego pliku JSON jako autorytatywnego mandatu handlowego.
- CVE-2026-58169Wysokie
Podatność DNS rebinding w Vibe-Trading przed wersją 0.1.10 umożliwia ominięcie uwierzytelniania bearer-token poprzez wykorzystanie zaufania serwera do adresów TCP dla klientów loopback oraz brak walidacji nagłówka Host przy wiązaniu do 0.0.0.0 z uwierzytelnionym CORS. Atakujący może stworzyć złośliwą stronę DNS rebinding, wysyłać uwierzytelnione żądania do lokalnego API, dotrzeć do endpointu wykonania powłoki z presetem bash i uzyskać zdalne wykonanie kodu jako użytkownik procesu API, a także nadpisać ustawienia LLM i źródła danych w celu kradzieży poświadczeń.
Oryginalny opis (angielski, źródło NVD)
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root shell commands via BashTool, upload .py or .sh files via /upload, read session histories, and obtain partial API keys.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS