CVE-2026-47195
WysokieCVSS 7.1Streszczenie
Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.6 polecenia purge i slowmode sprawdzają jedynie uprawnienia na poziomie gildii, co pozwala użytkownikom bez uprawnień moderacyjnych na poziomie kanału na usuwanie wiadomości lub zmianę trybu wolnego.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane działania użytkowników, co może prowadzić do utraty kontroli nad treściami w kanałach Discord.
Rekomendacja
Zaleca się aktualizację bota do wersji 1.1.6 lub nowszej, aby zabezpieczyć się przed tym problemem.
Inne podatności w Quest Bot
Zobacz wszystkie- CVE-2026-49347Średnie
Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.8 pozwalał użytkownikom na wielokrotne tworzenie nowych kanałów biletowych bez ograniczeń. Nowa wersja nadal tworzy nowy bilet w bazie danych oraz kanał Discord dla każdego złożonego formularza biletu, nie sprawdzając, czy dany użytkownik ma już otwarty bilet.
- CVE-2026-48485Niskie
Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.6 nie tłumił wzmiankowania przy wywoływaniu komendy /warns, co mogło prowadzić do masowego pingowania użytkowników.
- CVE-2026-47196Wysokie
Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.6, komenda automod add przycina dane wejściowe użytkownika, ale nie odrzuca pustego wyniku, co prowadzi do usunięcia wszystkich wiadomości niebota w gildii.
- CVE-2026-47172Krytyczne
Quest Bot to nowoczesny bot Discord, który przed wersją 1.0.3 miał uprzywilejowany proces wdrażania. Atakujący mógł wykorzystać pull request z gałęzi main, co pozwalało na wdrożenie złośliwego kodu w kontekście uprzywilejowanym.
- CVE-2026-47197Wysokie
Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.6 pozwalał moderatorom z odpowiednimi uprawnieniami na moderowanie użytkowników wyżej w hierarchii ról Discord, o ile bot miał wyższą rangę niż cel. To narusza normalne zabezpieczenia hierarchii ról Discord.
- CVE-2026-47189Wysokie
Quest Bot to nowoczesny bot Discord, który przed wersją 1.0.5 miał lukę w funkcji AutoMod, umożliwiającą usuwanie reguł bez weryfikacji przynależności do serwera. Użytkownik mógł zidentyfikować ID reguły AutoMod ofiary i usunąć ją z innego serwera, na którym miał uprawnienia do zarządzania serwerem.
- CVE-2026-47188Niskie
Quest Bot to otwartoźródłowy bot Discorda, który przed wersją 1.0.5 nie tłumił wzmiankowania w niektórych komendach moderacyjnych. Komendy /unban i /unwarn nadal wysyłały tekst powodu kontrolowanego przez użytkownika w publicznych wiadomościach bota, co mogło prowadzić do masowego pingowania.
- CVE-2026-47177Średnie
Quest Bot to otwartoźródłowy nowoczesny bot Discord, który przed wersją 1.0.4 pozwalał użytkownikom konfigurować ustawienia bota, w tym kanał do przesyłania transkryptów biletów. Użytkownicy mogli ustawić ten kanał na taki, który mogli czytać, co prowadziło do ujawnienia prywatnych wiadomości biletów.
- CVE-2026-47176Średnie
Quest Bot to nowoczesny bot Discord typu open source, który przed wersją 1.0.4 pozwalał użytkownikom konfigurować ustawienia logowania, co skutkowało rejestrowaniem treści usuniętych i edytowanych wiadomości z każdego kanału, w tym prywatnych, do których użytkownik nie miał dostępu.
- CVE-2026-47175Niskie
Quest Bot to nowoczesny bot Discord stworzony do moderacji, narzędzi i wsparcia. W wersjach przed 1.0.4, kilka komend moderacyjnych wyświetlało tekst powodów kontrolowanych przez użytkownika w publicznych odpowiedziach bota, nie wyłączając analizy wzmiankowania.
Oryginalny opis (angielski, źródło NVD)
Quest Bot is an opensource Discord Bot. Prior to version 1.1.6, the purge and slowmode commands check only guild-level permissions on the invoking member. They do not check the member’s effective permissions in the channel where the command is run. A user denied channel-level moderation permissions can still delete messages or change slowmode through the bot. This issue has been patched in version 1.1.6.