CVE-2026-40525
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
OpenViking przed wersją 0.3.9 zawiera podatność polegającą na pominięciu uwierzytelniania w interfejsie API VikingBot OpenAPI. Gdy wartość konfiguracyjna api_key jest pusta lub nieustawiona, sprawdzenie uwierzytelnienia kończy się sukcesem, umożliwiając zdalnym atakującym dostęp do chronionych funkcji bota bez podawania nagłówka X-API-Key.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad botem przez nieautoryzowanego atakującego, co może prowadzić do kradzieży danych, dostępu do integracji i narzędzi oraz wykorzystania bota do szkodliwych działań.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenViking do wersji 0.3.9 lub nowszej oraz ustawienie silnej, niepustej wartości api_key w konfiguracji. Należy również ograniczyć dostęp sieciowy do interfejsu API tylko do zaufanych hostów.
Oryginalny opis (angielski, źródło NVD)
OpenViking prior to version 0.3.9 contains an authentication bypass vulnerability in the VikingBot OpenAPI HTTP route surface where the authentication check fails open when the api_key configuration value is unset or empty. Remote attackers with network access to the exposed service can invoke privileged bot-control functionality without providing a valid X-API-Key header, including submitting attacker-controlled prompts, creating or using bot sessions, and accessing downstream tools, integrations, secrets, or data accessible to the bot.