CVE-2026-14714
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 — wyżej niż 36% wszystkich znanych CVE
Streszczenie
W komponencie wx Endpoint projektu zhayujie chatgpt-on-wechat CowAgent 2.1.0 brakuje uwierzytelnienia w funkcji verify_server pliku channel/wechatmp/common.py. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do endpointu /wx, co może prowadzić do przejęcia kontroli nad botem lub wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować komponent do wersji 2.1.1, która zawiera poprawkę 3d7c68bac6ee74fad63f43cf99e45c62e202ed55.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in zhayujie chatgpt-on-wechat CowAgent 2.1.0. This issue affects the function verify_server of the file channel/wechatmp/common.py of the component wx Endpoint. This manipulation of the argument wechatmp_token causes missing authentication. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 2.1.1 is capable of addressing this issue. Patch name: 3d7c68bac6ee74fad63f43cf99e45c62e202ed55. It is suggested to upgrade the affected component. The project confirms: "We've added an explicit non-empty check for wechatmp_token in verify_server() so that the /wx endpoint now fails closed with 403 Forbidden whenever the token is missing or left at the default empty value, instead of relying on a signature check that silently degenerates to a predictable hash."