CVE-2026-90562
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
LangBot przed wersją 4.10.11 generuje klucze odzyskiwania hasła zaledwie z 24 bitami entropii i nie stosuje ograniczeń szybkości na nieuwierzytelnionym endpoincie resetowania hasła. Zdalny atakujący znający adres e-mail administratora może wyczerpać przestrzeń kluczy poprzez równoległe żądania, zresetować hasło administratora i uzyskać dostęp do konta.
Ocena ryzyka
Słaba entropia kluczy i brak rate limitingu umożliwiają przejęcie konta administratora, co prowadzi do pełnej kompromitacji aplikacji. Ryzyko jest krytyczne, ponieważ atak nie wymaga uwierzytelnienia.
Rekomendacja
Zaktualizuj LangBot do wersji 4.10.11 lub nowszej. W międzyczasie wdróż rate limiting na endpoincie resetowania hasła oraz rozważ tymczasowe wyłączenie funkcji odzyskiwania hasła.
Inne podatności w LangBot
Zobacz wszystkie- CVE-2026-90938Wysokie
LangBot's plugin runtime (pakiet pip langbot_plugin) do wersji 0.4.17 uruchamia debug WebSocket server na 0.0.0.0:5401 z uwierzytelnianiem opartym na kluczu, który domyślnie jest pusty i nigdy nie jest ustawiany. Zdalny atakujący może zarejestrować dowolny 'debug plugin' bez poświadczeń, otrzymywać pełny kontekst wiadomości IM i wstrzykiwać fałszywe odpowiedzi, wysyłać wiadomości jako boty, czytać bazy wiedzy i rejestrować złośliwe narzędzia.
- CVE-2026-54449Wysokie
LangBot w wersji 4.10.7 i wcześniejszych ma podatność, która pozwala każdemu uwierzytelnionemu użytkownikowi na dodawanie lub zmianę konfiguracji serwera MCP STDIO bez odpowiedniej granicy autoryzacji. Atakujący może skonfigurować polecenia i argumenty, które są wykonywane jako subproces na serwerze LangBot, umożliwiając wykonanie dowolnych poleceń z uprawnieniami usługi LangBot.
Oryginalny opis (angielski, źródło NVD)
LangBot before 4.10.11 generates password recovery keys with only 24 bits of entropy and applies no rate limiting to the unauthenticated reset-password endpoint. Remote attackers knowing the administrator email can exhaust the keyspace through concurrent requests to reset the admin password and gain account access.