HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root shell commands via BashTool, upload .py or .sh files via /upload, read session histories, and obtain partial API keys.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
hkuds:vibe-trading
Ссылки 2
https://github.com/HKUDS/Vibe-Trading/security/advisories/GHSA-v2f8-6655-7grj
GitHub Security Advisory (GHSA-v2f8-6655-7grj)
https://www.vulncheck.com/advisories/hkuds-vibe-trading-before-0.1.7-missing-au…
VulnCheck Advisory: HKUDS Vibe-Trading before 0.1.7 Missing Authentication in FastAPI Server Enabling RCE