MuseBotに管理者なりすましの脆弱性、2.0.0で修正
Summary
MuseBotの2.0.0より前の版では、パスワードを知らない第三者が管理者として管理画面に入れてしまいます。ボットを自社や顧客向けに運用している組織が対象で、2.0.0への更新と、管理画面の公開範囲の確認が先決です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
MuseBotの2.0.0より前の版では、パスワードを知らない第三者が管理者として管理画面に入れてしまいます。ボットを自社や顧客向けに運用している組織が対象で、2.0.0への更新と、管理画面の公開範囲の確認が先決です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| yincongcyincong | MuseBot |
< 2.0.0 |
2.0.0 |
Original description The description as published by the source.
MuseBot before 2.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge admin sessions by using the hard-coded default session_key 'muse_bot_session_key'. Attackers can sign a MuseBot-session cookie carrying a user_id to gain full administrative access, reading password hashes, chat records, and bot configuration, and stopping bots.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory