PT-2025-47033 · Astrbot · Astrbot

CVE-2025-55449 · Publicado 2025-11-14 · Atualizado 2026-06-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas AstrBot versão 3.5.15

Descrição O software utiliza uma chave privada codificada, "Advanced System for Text Response and Bot Operations Tool", para assinar JSON Web Tokens (JWT), que são meios compactos e seguros para URLs de representação de reivindicações a serem transferidas entre duas partes. Isso permite que invasores ignorem a autenticação e instalem um plugin Python malicioso, levando à execução de comandos arbitrários no host de destino.

Recomendações Atualize para uma versão lançada após 21/06/2025.

Exploit

Correção

Insufficient Verification of Data Authenticity

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-321

CWE-345

CWE-798

Identificadores relacionados

CVE-2025-55449

GHSA-4M32-CJV7-F425

PYSEC-2026-285

Produtos afetados

Astrbot

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/55xxx/CVE-2025-55449.json · Exploit
• 🔥 https://github.com/Marven11/CVE-2025-55449-AstrBot-RCE · Exploit
• https://github.com/AstrBotDevs/AstrBot · Nota
• https://github.com/AstrBotDevs/AstrBot/security/advisories/GHSA-4m32-cjv7-f425 · Nota
• https://github.com/AstrBotDevs/AstrBot/commit/d03e9fb90a0921a1bd10cf480bdacc9aaa246472 · Nota
• https://github.com/AstrBotDevs/AstrBot/releases/tag/v3.5.18 · Nota
• https://twitter.com/CVEnew/status/2053559168250818852 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1ozp1t6/resumen_diario_de_vulnerabilidades_17112025 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-4m32-cjv7-f425 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-55449 · Aviso do Fabricante
• https://pypi.org/project/astrbot · Nota
• https://t.me/cveNotify/162680 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1oxcbz9/resumen_diario_de_vulnerabilidades_14112025 · Publicação no Reddit
• https://github.com/advisories/GHSA-4m32-cjv7-f425 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-55449 · Nota de Segurança