GHSA-v2f8-6655-7grj
Pontos de extremidade do Vibe-Trading FastAPI permitem acesso não autenticado, upload de arquivos e uma cadeia de execução remota de código
Traduzido automaticamente do inglês.
5 achados — exposição completa da API sem autenticação (F1, principal Crítica), lacuna de autorização do lado de leitura que persiste mesmo com API_AUTH_KEY definido (F2), escrita de arquivo sem autenticação de .py/.sh/.yaml para um caminho retornado pelo servidor (F3), CORS permissivo padrão que se combina com uma verificação de loopback apenas para conceder acesso cross-origin com credenciais a qualquer página do navegador em portas localhost whitelisted (F-A4), e parcial…
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1)
- Pacotes afetados
- vibe-trading-ai (pip) >= 0.1.0, < 0.1.7, corrigido em 0.1.7 · GHSA-v2f8-6655-7grj