CVE-2026-47189
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Quest Bot to nowoczesny bot Discord, który przed wersją 1.0.5 miał lukę w funkcji AutoMod, umożliwiającą usuwanie reguł bez weryfikacji przynależności do serwera. Użytkownik mógł zidentyfikować ID reguły AutoMod ofiary i usunąć ją z innego serwera, na którym miał uprawnienia do zarządzania serwerem.
Ocena ryzyka
Luka ta może prowadzić do nieautoryzowanego usunięcia reguł moderacyjnych na serwerach, co może zakłócić działanie społeczności i wprowadzić chaos w zarządzaniu serwerem.
Rekomendacja
Zaleca się aktualizację Quest Bot do wersji 1.0.5 lub nowszej, aby zabezpieczyć się przed tą podatnością.
Inne podatności w Quest Bot
Zobacz wszystkie- CVE-2026-49347Średnie
Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.8 pozwalał użytkownikom na wielokrotne tworzenie nowych kanałów biletowych bez ograniczeń. Nowa wersja nadal tworzy nowy bilet w bazie danych oraz kanał Discord dla każdego złożonego formularza biletu, nie sprawdzając, czy dany użytkownik ma już otwarty bilet.
- CVE-2026-48485Niskie
Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.6 nie tłumił wzmiankowania przy wywoływaniu komendy /warns, co mogło prowadzić do masowego pingowania użytkowników.
- CVE-2026-47196Wysokie
Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.6, komenda automod add przycina dane wejściowe użytkownika, ale nie odrzuca pustego wyniku, co prowadzi do usunięcia wszystkich wiadomości niebota w gildii.
- CVE-2026-47195Wysokie
Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.6 polecenia purge i slowmode sprawdzają jedynie uprawnienia na poziomie gildii, co pozwala użytkownikom bez uprawnień moderacyjnych na poziomie kanału na usuwanie wiadomości lub zmianę trybu wolnego.
- CVE-2026-47172Krytyczne
Quest Bot to nowoczesny bot Discord, który przed wersją 1.0.3 miał uprzywilejowany proces wdrażania. Atakujący mógł wykorzystać pull request z gałęzi main, co pozwalało na wdrożenie złośliwego kodu w kontekście uprzywilejowanym.
- CVE-2026-47197Wysokie
Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.6 pozwalał moderatorom z odpowiednimi uprawnieniami na moderowanie użytkowników wyżej w hierarchii ról Discord, o ile bot miał wyższą rangę niż cel. To narusza normalne zabezpieczenia hierarchii ról Discord.
- CVE-2026-47188Niskie
Quest Bot to otwartoźródłowy bot Discorda, który przed wersją 1.0.5 nie tłumił wzmiankowania w niektórych komendach moderacyjnych. Komendy /unban i /unwarn nadal wysyłały tekst powodu kontrolowanego przez użytkownika w publicznych wiadomościach bota, co mogło prowadzić do masowego pingowania.
- CVE-2026-47177Średnie
Quest Bot to otwartoźródłowy nowoczesny bot Discord, który przed wersją 1.0.4 pozwalał użytkownikom konfigurować ustawienia bota, w tym kanał do przesyłania transkryptów biletów. Użytkownicy mogli ustawić ten kanał na taki, który mogli czytać, co prowadziło do ujawnienia prywatnych wiadomości biletów.
- CVE-2026-47176Średnie
Quest Bot to nowoczesny bot Discord typu open source, który przed wersją 1.0.4 pozwalał użytkownikom konfigurować ustawienia logowania, co skutkowało rejestrowaniem treści usuniętych i edytowanych wiadomości z każdego kanału, w tym prywatnych, do których użytkownik nie miał dostępu.
- CVE-2026-47175Niskie
Quest Bot to nowoczesny bot Discord stworzony do moderacji, narzędzi i wsparcia. W wersjach przed 1.0.4, kilka komend moderacyjnych wyświetlało tekst powodów kontrolowanych przez użytkownika w publicznych odpowiedziach bota, nie wyłączając analizy wzmiankowania.
Oryginalny opis (angielski, źródło NVD)
Quest Bot is an opensource modern Discord Bot built for moderation, utilities and support. Prior to version 1.0.5, the AutoMod remove flow looks up and deletes rules by global database ID without verifying that the rule belongs to the guild where the command is executed. A user can learn a victim guild’s AutoMod rule ID through autocomplete, then remove that rule from another guild where they have Manage Server. This issue has been patched in version 1.0.5.