CVE-2026-90938
WysokieCVSS 8.6Streszczenie
LangBot's plugin runtime (pakiet pip langbot_plugin) do wersji 0.4.17 uruchamia debug WebSocket server na 0.0.0.0:5401 z uwierzytelnianiem opartym na kluczu, który domyślnie jest pusty i nigdy nie jest ustawiany. Zdalny atakujący może zarejestrować dowolny 'debug plugin' bez poświadczeń, otrzymywać pełny kontekst wiadomości IM i wstrzykiwać fałszywe odpowiedzi, wysyłać wiadomości jako boty, czytać bazy wiedzy i rejestrować złośliwe narzędzia.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację komunikacji IM, nieautoryzowany dostęp do danych, możliwość podszywania się pod boty oraz trwałą odmowę usługi poprzez rejestrację złośliwych pluginów.
Rekomendacja
Zaleca się natychmiastowe wyłączenie lub zabezpieczenie portu 5401, a także ustawienie silnego klucza plugin_debug_key. Należy monitorować dostęp do serwera WebSocket i ograniczyć go do zaufanych sieci.
Inne podatności w LangBot
Zobacz wszystkie- CVE-2026-90562Wysokie
LangBot przed wersją 4.10.11 generuje klucze odzyskiwania hasła zaledwie z 24 bitami entropii i nie stosuje ograniczeń szybkości na nieuwierzytelnionym endpoincie resetowania hasła. Zdalny atakujący znający adres e-mail administratora może wyczerpać przestrzeń kluczy poprzez równoległe żądania, zresetować hasło administratora i uzyskać dostęp do konta.
- CVE-2026-54449Wysokie
LangBot w wersji 4.10.7 i wcześniejszych ma podatność, która pozwala każdemu uwierzytelnionemu użytkownikowi na dodawanie lub zmianę konfiguracji serwera MCP STDIO bez odpowiedniej granicy autoryzacji. Atakujący może skonfigurować polecenia i argumenty, które są wykonywane jako subproces na serwerze LangBot, umożliwiając wykonanie dowolnych poleceń z uprawnieniami usługi LangBot.
Oryginalny opis (angielski, źródło NVD)
LangBot's plugin runtime (pip package langbot_plugin) through 0.4.17 starts a debug WebSocket server on 0.0.0.0:5401 (/plugin/ws) whose authentication is gated on plugin_debug_key, which defaults to an empty string and is never set by the upstream repository, Docker image, or docker-compose (which additionally publishes port 5401 to the host); the key check is therefore skipped entirely. Any remote attacker able to reach the port can register an arbitrary "debug plugin" without credentials. Because events are broadcast to all initialized plugins without filtering, the attacker's plugin receives the full context of every IM message event (including private chats, message chains, and user/sender IDs in plaintext) and can inject forged replies, send messages as any configured bot, enumerate bot UUIDs, invoke configured LLM models, read knowledge-base contents, and register malicious tools that feed every user's LLM pipeline. Registering with "prod_mode": true causes later legitimate installations of a plugin with the same author/name to be rejected, resulting in persistent denial of service. No patched version was available at the time of publication.