Résumé
généré automatiquement à partir des données NVDLangChat, jusqu'au commit 2a6285a, présente une absence d'authentification (CWE-306) : aucun intercepteur Sa-Token n'étant enregistré, des attaquants distants non authentifiés peuvent accéder aux contrôleurs REST. Ils peuvent interroger /api/v1/auth/users pour lire des mots de passe en clair, récupérer des clés API de fournisseurs LLM, créer des comptes super-admin et modifier ou supprimer des données. Le score CVSS v3.1 est de 9.8 (critique).
Description NVD (anglais)
LangChat through commit 2a6285a contains a missing authentication vulnerability that allows unauthenticated remote attackers to access REST controllers because no Sa-Token interceptor is registered. Attackers can query /api/v1/auth/users to read plaintext passwords, retrieve LLM provider API keys, create super-admin accounts, and modify or delete data.
EPSS · FIRST.org
0,51 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 42 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 18 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 16 oct. 2026
- Mis à jour
- 16 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-306
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.