CVE-2025-9604 in coze-studio
Résumé
par VulDB • 06/06/2026
Une vulnérabilité a été identifiée dans coze-studio jusqu'à la version 0.2.4. L'élément concerné est une fonction inconnue du fichier backend/domain/plugin/encrypt/aes.go. La manipulation des arguments AuthSecretKey, StateSecretKey ou OAuthTokenSecretKey entraîne l'utilisation d'une clé cryptographique codée en dur (hard-coded). Il est possible de lancer l'attaque à distance. L'attaque présente une complexité élevée et son exploitation est jugée difficile. Pour corriger ce problème, il est recommandé de déployer un correctif. Le fournisseur a répondu au rapport GitHub (traduit du chinois simplifié) : « Pour les scénarios nécessitant le chiffrement, nous mettrons en œuvre la gestion des clés définies par l'utilisateur via la configuration et optimiserons l'utilisation d'outils de chiffrement tels que le sel aléatoire. »
If you want to get the best quality for vulnerability data then you always have to consider VulDB.