p PatchFirst

CVE-2026-40525

CVE-2026-40525 · OpenViking < 0.3.9 Authentication Bypass via VikingBot OpenAPI

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenViking prior to version 0.3.9 contains an authentication bypass vulnerability in the VikingBot OpenAPI HTTP route surface where the authentication check fails open when the api_key configuration value is unset or empty. Remote attackers with network access to the exposed service can invoke privileged bot-control functionality without providing a valid X-API-Key header, including submitting attacker-controlled prompts, creating or using bot sessions, and accessing downstream tools, integrations, secrets, or data accessible to the bot.

CVSS 9.1 · Критический · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • openviking

    Версии
    • ≥ 0, < 0.3.9: Затронуто (semver)
    • c7bb1676f4d037609f041bf39e4e2bd52e8f9820: Не затронуто (git)

    Обновитесь до 0.3.9

  • openviking PyPI

    Версии
    • 0.2.10.dev45
    • 0.2.10.dev50
    • 0.2.11
    • 0.2.12
    • 0.2.12.dev1
    • 0.2.13
    • 0.2.15
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.3.4
    • 0.3.5
    • 0.3.6
    • 0.3.8
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.3.9

    Обновитесь до 0.3.9

  • openviking PyPI

    Версии
    • 0.1.17
    • 0.1.18
    • 0.2.1
    • 0.2.10
    • 0.2.10.dev45
    • 0.2.10.dev50
    • 0.2.11
    • 0.2.12
    • 0.2.12.dev1
    • 0.2.13
    • 0.2.13.dev2
    • 0.2.13.dev4
    • 0.2.14.dev4
    • 0.2.15
    • 0.2.16.dev9
    • 0.2.3
    • 0.2.5
    • 0.2.6
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.3.4
    • 0.3.4.dev44
    • 0.3.5
    • 0.3.6
    • 0.3.6.dev42
    • 0.3.6.dev45
    • 0.3.6.dev46
    • 0.3.6.dev49
    • 0.3.6.dev79
    • 0.3.8
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.3.9

    Обновитесь до 0.3.9

Первоисточники

Проверьте свой сервер →