p PatchFirst

CVE-2025-47948

CVE-2025-47948 · Cocotais Bot has builtin .echo command injection

CVSS 7.2 · Высокий · EPSS 0,4% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls cocotais-bot

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания cocotais-bot и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Cocotais Bot is a QQ official robot framework based on qq-bot-sdk. Starting in version 1.5.0-test2-hotfix and prior to version 1.6.2, command echoing feature in the framework allows users to indirectly trigger privileged behavior by injecting special platform tags. Specifically, an unauthorized user can use the `/echo <qqbot-at-everyone />` command to cause the bot to send a message that mentions all members in the chat, bypassing any permission controls. This can lead to spam, disruption, or abuse of notification systems. Version 1.6.2 contains a patch for the issue.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • cocotais-bot

    Версии
    • >= 1.5.0-test2-hotfix, < 1.6.2: Затронуто

    Нет опубликованного исправления

  • cocotais-bot npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 1.5.0-test2-hotfix, < 1.6.2

    Обновитесь до 1.6.2

Первоисточники

Проверьте свой сервер →