danmu_apiに認証回避の脆弱性、1.21.7で修正
Summary
danmu_apiの1.21.7より前の版に、認証なしでサーバーの設定を書き換えられる脆弱性が見つかりました。自分でdanmu_apiを動かしている組織や個人は、版を確認して1.21.7へ更新し、設定が書き換えられていないかも調べてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
danmu_apiの1.21.7より前の版に、認証なしでサーバーの設定を書き換えられる脆弱性が見つかりました。自分でdanmu_apiを動かしている組織や個人は、版を確認して1.21.7へ更新し、設定が書き換えられていないかも調べてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| huangxd- | danmu_api |
< 1.21.7 |
1.21.7 |
Original description The description as published by the source.
danmu_api before 1.21.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to modify server environment configuration when the default TOKEN is used and ADMIN_TOKEN is unset. Attackers can send POST requests to /api/env/set, /api/env/add, or /api/env/del to set ADMIN_TOKEN, lock out operators, redirect OTHER_SERVER or PROXY_URL for SSRF, and trigger redeployment.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory