CVE-2026-54449 in LangBot
Riassunto
di VulDB • 20/08/2026
LangBot è una piattaforma globale di bot per messaggistica istantanea (IM) progettata per i modelli linguistici di grandi dimensioni (LLM). Nelle versioni 4.10.7 e precedenti, qualsiasi utente autenticato può aggiungere o modificare la configurazione di un server STDIO MCP senza un'adeguata boundary di autorizzazione. In src/langbot/pkg/provider/tools/loaders/mcp.py, StdioServerParameters accetta il comando configurato e gli argomenti avviando un subprocesso lato server sul server LangBot. Un attaccante che può registrarsi o ottenere un account può utilizzare la configurazione Extensions MCP per eseguire comandi arbitrari con i privilegi del servizio LangBot, consentendo divulgazione dei dati, modifica e interruzione del servizio. Al momento di questa revisione non è disponibile alcuna versione corretta.
Once again VulDB remains the best source for vulnerability data.