Descripción
HKUDS Vibe-Trading desde 0.1.0 y anterior a 0.1.7 contiene una vulnerabilidad de autenticación ausente que permite a atacantes no autenticados acceder a la superficie de FastAPI, ya que require_auth() retorna anticipadamente cuando API_AUTH_KEY no está definida. Los atacantes pueden enviar mensajes a /sessions/{id}/messages para provocar la ejecución de comandos de shell como root mediante BashTool, cargar archivos .py o .sh a través de /upload, leer historiales de sesiones y obtener claves de API parciales.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Vibe-Trading Afectadas: 0.1.0 y anteriores a 0.1.7 No afectadas: 0.1.7
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/HKUDS/Vibe-Trading/security/advisories/GHSA-v2f8-6655-7grj
- Aviso de vulncheck.comvulncheck.com/advisories/hkuds-vibe-trading-before-0.1.7-missing-auth…
Ver el texto original en inglés (CVE.org)
HKUDS Vibe-Trading before 0.1.7 Missing Authentication in FastAPI Server Enabling RCE
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root shell commands via BashTool, upload .py or .sh files via /upload, read session histories, and obtain partial API keys.