CVE-2026-6984
Publiée le 2026-04-25 · Dernière modification le 2026-10-26
Les installations d'AstrBot jusqu'à la version 4.22.1 sont touchées par une faille d'injection de modèle dans l'API du Tableau de bord. Un attaquant disposant de privilèges administratifs de haut niveau peut envoyer une requête distante spécialement conçue pour exécuter des actions non autorisées limitées sur le serveur. Comme cela nécessite une authentification de haut niveau préalable, le risque pour la plupart des utilisateurs est faible, malgré la disponibilité publique d'un code d'exploitation.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in AstrBotDevs AstrBot up to 4.22.1. This affects the function create_template of the file astrbot/dashboard/routes/t2i.py of the component Dashboard API. The manipulation results in improper neutralization of special elements used in a template engine. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.