PT-2026-53920 · Unknown · Vibe-Trading

Publicado 2026-06-30 · Atualizado 2026-06-30 · CVE-2026-58169

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Vibe-Trading versões anteriores a 0.1.10

Descrição O servidor de API local confia no endereço TCP peer para ignorar a verificação do token bearer API AUTH KEY para clientes de loopback e não realiza a validação do cabeçalho Host ao vincular ao 0.0.0.0 com CORS credenciado por padrão. Isso permite que uma página de DNS-rebinding envie requisições autenticadas para a API local como um cliente de loopback confiável. Como requisições de loopback habilitam automaticamente ferramentas de shell, um invasor pode acessar o endpoint 'POST /swarm/runs' usando um preset integrado que permite a ferramenta bash para alcançar a execução remota de código como o usuário do processo da API. Além disso, esse bypass permite iniciar o executor ao vivo e sobrescrever as configurações de LLM e fonte de dados para redirecionar o tráfego do provedor e exfiltrar credenciais.

Recomendações Atualize o Vibe-Trading para a versão 0.1.10 ou posterior.

Correção

Origin Validation Error

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

CVE-2026-58169

Produtos afetados

Vibe-Trading

Referências · 8

• https://github.com/HKUDS/Vibe-Trading/pull/243 · Correção
• https://github.com/HKUDS/Vibe-Trading/releases/tag/v0.1.10 · Nota
• https://github.com/HKUDS/Vibe-Trading/pull/293 · Correção
• https://github.com/HKUDS/Vibe-Trading/pull/245 · Correção
• https://github.com/HKUDS/Vibe-Trading/pull/242 · Correção
• https://github.com/HKUDS/Vibe-Trading/pull/241 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-58169 · Nota de Segurança
• https://vulncheck.com/advisories/vibe-trading-loopback-trust-and-missing-host-validation-enable-dns-rebinding-authentication-bypass-and-remote-code-execution · Nota