Plateforme
nodejs
Composant
chatgpt-on-wechat
Corrigé dans
2.0.5
Une vulnérabilité de contournement d'authentification a été découverte dans CowAgent, un composant de chatgpt-on-wechat développé par zhayujie. Cette faille permet un accès non autorisé à l'interface HTTP administrative, ouvrant la porte à des attaques potentielles. Les versions 2.0.4 à 2.0.4 sont affectées. Bien qu'un rapport de problème ait été soumis, le projet n'a pas encore répondu.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'accéder à l'interface HTTP administrative de CowAgent sans authentification. Cela pourrait permettre la modification de la configuration, l'exécution de commandes arbitraires sur le serveur, ou l'accès à des données sensibles. La disponibilité d'un exploit public rend cette vulnérabilité particulièrement critique, car elle facilite l'exploitation par des acteurs malveillants. Le manque de réponse du projet aggrave la situation, laissant les utilisateurs exposés.
Cette vulnérabilité est publique et un exploit est disponible, ce qui augmente considérablement le risque d'exploitation. Elle a été publiée le 2026-04-12. L'absence de réponse du projet indique un risque accru d'exploitation prolongée. Le score CVSS de 7.3 (HIGH) reflète la sévérité de la vulnérabilité et la facilité d'exploitation.
Organizations and individuals utilizing CowAgent 2.0.4–2.0.4, particularly those integrating ChatGPT with WeChat, are at significant risk. Shared hosting environments where CowAgent is deployed alongside other applications are especially vulnerable, as a compromise of CowAgent could potentially lead to lateral movement within the hosting infrastructure.
• nodejs / server:
ps aux | grep CowAgent
journalctl -u cowagent | grep -i "administrative http endpoint"• generic web:
curl -I http://<cowagent_ip>/admin # Check for 200 OK without authentication
grep -r "administrative http endpoint" /var/log/nginx/access.logdisclosure
poc
Statut de l'Exploit
EPSS
0.09% (percentile 25%)
CISA SSVC
Vecteur CVSS
En l'absence de correctif officiel, la mitigation immédiate consiste à restreindre l'accès à l'interface HTTP administrative. Implémentez des contrôles d'accès stricts, en limitant l'accès uniquement aux utilisateurs et aux adresses IP autorisés. Utilisez un pare-feu d'application web (WAF) pour bloquer les requêtes non authentifiées à l'interface administrative. Surveillez les journaux d'accès pour détecter les tentatives d'accès non autorisées. Une fois qu'une version corrigée est disponible, effectuez la mise à jour immédiatement. Après la mise à jour, vérifiez l'accès à l'interface administrative pour confirmer que l'authentification est correctement appliquée.
Mettez à jour vers une version corrigée du paquet chatgpt-on-wechat CowAgent. Étant donné que le projet n'a pas répondu, il est recommandé d'évaluer des alternatives ou de mettre en œuvre des mesures de sécurité supplémentaires pour atténuer le risque d'accès non autorisé à l'interface d'administration.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-6126 is a HIGH severity vulnerability in CowAgent versions 2.0.4–2.0.4 where the Administrative HTTP Endpoint lacks authentication, allowing remote attackers to exploit it.
If you are running CowAgent version 2.0.4–2.0.4, you are potentially affected by this vulnerability. Immediate action is required.
Unfortunately, a patch is not yet available. Mitigate by restricting access to the Administrative HTTP Endpoint using firewall rules or a WAF.
While no confirmed exploitation campaigns are currently known, a public proof-of-concept exists, increasing the risk of exploitation.
As of now, the project maintainers have not released an official advisory. Monitor the CowAgent GitHub repository for updates.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.