PT-2025-23500 · Astrbot · Astrbot

Raven95676 + 1 · Publicado 2025-06-02 · Atualizado 2025-06-25 · CVE-2025-48957

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do AstrBot de 3.4.4 até 3.5.12

Descrição O AstrBot é um chatbot baseado em modelo de linguagem grande e um framework de desenvolvimento. Uma vulnerabilidade de traversão de caminho (path traversal) pode levar à divulgação de informações, como chaves de API para provedores de LLM, senhas de conta e outros dados sensíveis. A vulnerabilidade foi corrigida no Pull Request #1676 e está incluída na versão 3.5.13.

Recomendações Para as versões do AstrBot de 3.4.4 até 3.5.12, como medida temporária, os usuários podem editar o arquivo cmd config.json para desativar o recurso de dashboard. No entanto, é altamente recomendado atualizar para a versão 3.5.13 ou posterior para resolver completamente este problema.

Exploit

Correção

Path traversal

Relative Path Traversal

Enumeração de Fraquezas

CWE-22

CWE-23

Identificadores relacionados

CVE-2025-48957

GHSA-CQ37-G2QP-3C2P

Produtos afetados

Astrbot

Referências · 20

• 🔥 https://github.com/AstrBotDevs/AstrBot/issues/1675 · Exploit
• 🔥 https://github.com/AstrBotDevs/AstrBot/security/advisories/GHSA-cq37-g2qp-3c2p · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48957.json · Exploit
• 🔥 https://vicarius.io/vsociety/posts/cve-2025-48957-detect-astrbot-dashboard-vulnerability?prevUrl=wizard · Exploit
• https://github.com/AstrBotDevs/AstrBot · Nota
• https://github.com/AstrBotDevs/AstrBot/commit/cceadf222c46813c7f41115b40d371e7eb91e492 · Correção
• https://github.com/AstrBotDevs/AstrBot/pull/1676 · Correção
• https://twitter.com/VulmonFeeds/status/1929535173428641993 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/2516 · Publicação no Telegram
• https://twitter.com/dailycve/status/1937946108619055497 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-48957 · Aviso do Fabricante
• https://t.me/cvetracker/25168 · Publicação no Telegram
• https://t.me/cvenotify/124373 · Publicação no Telegram
• https://vicarius.io/vsociety/posts/cve-2025-48957-mitigate-astrbot-dashboard-vulnerability?prevUrl=wizard · Nota
• https://twitter.com/cracbot/status/1931305194966372723 · Publicação no Twitter