CVE-2025-9604 in coze-studio
Сводка
по VulDB • 06.06.2026
В компоненте coze-studio версии до 0.2.4 выявлена уязвимость. Затронутым элементом является неизвестная функция в файле backend/domain/plugin/encrypt/aes.go. Манипуляция с аргументами AuthSecretKey, StateSecretKey или OAuthTokenSecretKey приводит к использованию криптографического ключа, жестко закодированного (hard-coded) в коде приложения. Атаку можно инициировать удаленно. Сложность эксплуатации оценивается как высокая; успешная эксплуатация считается затруднительной. Для устранения данной проблемы рекомендуется установить патч. Разработчик ответил на issue в GitHub (перевод с упрощенного китайского): «Для сценариев, требующих шифрования, мы реализуем управление ключами, определяемыми пользователем, через конфигурацию, а также оптимизируем использование инструментов шифрования, таких как случайная соль».
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.