جزئیات آسیب‌پذیری
CVE-2026-119660
yincongcyincong MuseBot
MuseBot before 2.0.0 Authentication Bypass via Hard-Coded Session Key
CVSS 4.0
9.3بحرانی
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
MuseBot before 2.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge admin sessions by using the hard-coded default session_key 'muse_bot_session_key'. Attackers can sign a MuseBot-session cookie carrying a user_id to gain full administrative access, reading password hashes, chat records, and bot configuration, and stopping bots.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.3بحرانی | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 9.8بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| yincongcyincong | MuseBot | v < 2.0.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۸- https://github.com/yincongcyincong/MuseBot/issues/61 issue-tracking
- https://github.com/yincongcyincong/MuseBot/commit/3e64518948fe7037058f07ef987d35216c3f0cae patch
- https://github.com/yincongcyincong/MuseBot/commit/139f6158b50283b983d76976f593a3a09a064681 patch
- https://github.com/yincongcyincong/MuseBot/blob/v1.0.42/admin/conf/conf.go#L28 technical-description
- https://github.com/yincongcyincong/MuseBot/blob/v1.0.42/admin/controller/login.go#L19-L88 technical-description
- https://hackmd.io/@hieuPenguinnn/musebot-admin-default-session-key-auth-bypass third-party-advisory
- https://github.com/yincongcyincong/MuseBot product
- https://www.vulncheck.com/advisories/musebot-before-2.0.0-authentication-bypass-via-hard-coded-session-key third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۸
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۵۲٪
احتمال بهره‌برداری در ۳۰ روز
۴۴٫۲٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-1394Use of Default Cryptographic Key