CVE-2026-119660
Publiée le 2026-10-30 · Dernière modification le 2026-10-30
Les versions de MuseBot antérieures à la 2.0.0 sont affectées par une faille dans la gestion de la sécurité des sessions. Le bot utilise une clé de session par défaut codée en dur, `muse_bot_session_key`, pour signer ses cookies. Comme cette clé est identique pour toutes les installations, un attaquant peut l'utiliser pour forger un cookie de session administrative valide.
Un attaquant disposant d'un accès réseau peut ainsi obtenir un contrôle administratif complet sans avoir besoin de mot de passe ni d'interaction de l'utilisateur. Cela lui permet de voler des empreintes de mots de passe (hashes), de lire des historiques de chats privés, de modifier les configurations du bot ou d'interrompre complètement les services. L'exploitation est triviale car elle ne nécessite aucune authentification et s'appuie sur une valeur statique connue.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
MuseBot before 2.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge admin sessions by using the hard-coded default session_key 'muse_bot_session_key'. Attackers can sign a MuseBot-session cookie carrying a user_id to gain full administrative access, reading password hashes, chat records, and bot configuration, and stopping bots.