MuseBot 2.0.0 以上版本修補硬編碼會話金鑰認證繞過漏洞
CVE-2026-119660 - MuseBot before 2.0.0 Authentication Bypass via Hard-Coded Session Key
MuseBot 2.0.0 之前的版本存在一個認證繞過漏洞，攻擊者可使用硬編碼的會話金鑰冒充管理員。
- 漏洞影響：可冒充管理員、讀取密碼雜湊、聊天紀錄、機器人設定，甚至停止機器人。
此漏洞可讓未授權使用者冒充管理員，讀取密碼雜湊與聊天紀錄，提示使用者即時升級至 MuseBot 2.0.0 或更高版本以修補。
MuseBot 2.0.0 之前包含一個身份驗證繞過漏洞，允許未經身份驗證的攻擊者使用硬編碼的預設 session_key 'muse_bot_session_key' 偽造管理員會話。攻擊者可以簽署包含 user_id 的 MuseBot-session cookie，從而獲得完整的管理員許可權，閱讀密碼雜湊、聊天記錄和機器人設定，並停止機器人。
影響
受影響產品
以下產品受到 CVE-2026-119660
漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，
這些資訊並未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（常見漏洞評分系統）是一個標準化框架 用於評估軟體與系統漏洞的嚴重程度。 我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | CRITICAL | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | CRITICAL | MITRE-CVE | ||||
| CVSS 4.0 | CRITICAL | 83251b91-4cc7-4094-a5c7-464a1b83ea10 |
更新 MuseBot 以解決因硬編碼 session key 而造成的身份驗證繞過漏洞。
- 更新 MuseBot 至 2.0.0 或更高版本。
- 立即更改預設 session_key。
- 使所有現有會話失效。
- 重新啟動應用程式。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）漏洞。以下列表為已在 GitHub 上發布的公開漏洞與概念驗證集合（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為在文章中提及 CVE-2026-119660 漏洞的新聞。
EPSS 是對未來 30 天內觀測到利用活動機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。