CVE-2026-112265
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
Les versions de LangBot allant jusqu'à la 4.11.0 incluse sont concernées. Ce logiciel intègre des modèles de langage étendus (LLM) aux plateformes de messagerie Lark/Feishu afin d'automatiser des outils et des flux de travail. La faille provient du fait que l'application ne vérifie pas correctement les signatures d'authenticité des événements entrants, ce qui permet au système d'accepter des requêtes falsifiées.
Un attaquant non authentifié, disposant d'un accès réseau et de l'UUID de votre bot, peut envoyer de faux messages ou déclencher des actions en se faisant passer pour un autre utilisateur. Cela compromet l'intégrité de votre système en permettant à des utilisateurs non autorisés de piloter le pipeline du LLM et de déclencher des outils internes ou des approbations. Bien que l'impact soit élevé, l'attaque est considérée comme complexe car elle nécessite la connaissance de l'identifiant unique du bot.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LangBot through 4.11.0 contains a missing authenticity verification vulnerability that allows unauthenticated attackers to inject forged Lark/Feishu events by skipping signature checks. Attackers knowing a bot UUID can POST fabricated im.message.receive_v1 or card.action.trigger events to drive the LLM pipeline, tools, and approvals as other users.