Bollettino del 21 ottobre 2026
CVE-2026-114108: Vibe-Trading (HKUDS)
Vulnerabilità critica, punteggio 9,8 su 10, in Vibe-Trading (HKUDS). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: funzione critica senza autenticazione.
- Gravità
- 9,8 su 10 (critical)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Tipo di difetto
- CWE-306: funzione critica senza autenticazione
- Pubblicata
- 21 ottobre 2026
Descrizione originale
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root shell commands via BashTool, upload .py or .sh files via /upload, read session histories, and obtain partial API keys.