CVE-2024-8954
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
La version 0.5.10 de Composio contient une faille où l'API ne parvient pas à valider l'en-tête de la clé API. Un attaquant distant peut contourner entièrement l'authentification en fournissant n'importe quelle chaîne de caractères aléatoire comme clé, lui octroyant ainsi un accès non autorisé complet au serveur. Cette exploitation est triviale à réaliser et ne nécessite aucun identifiant préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In composiohq/composio version 0.5.10, the API does not validate the `x-api-key` header's value during the authentication step. This vulnerability allows an attacker to bypass authentication by providing any random value in the `x-api-key` header, thereby gaining unauthorized access to the server.