Résumé
généré automatiquement à partir des données NVDHKUDS Vibe-Trading, des versions 0.1.0 jusqu'avant la 0.1.7, présente une absence d'authentification (CWE-306) : require_auth() retourne immédiatement lorsque API_AUTH_KEY n'est pas défini, ce qui expose toute la surface FastAPI. Un attaquant non authentifié peut envoyer des messages à /sessions/{id}/messages pour exécuter des commandes shell root via BashTool, téléverser des fichiers .py ou .sh via /upload, lire les historiques de session et obtenir des clés API partielles. Score CVSS v3.1 de 9.8 (critique).
Description NVD (anglais)
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root shell commands via BashTool, upload .py or .sh files via /upload, read session histories, and obtain partial API keys.
EPSS · FIRST.org
0,36 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 28 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 22 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 21 oct. 2026
- Mis à jour
- 22 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-306
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.