Anchorr: यूजर मैपिंग ड्रॉपडाउन में संग्रहीत XSS (Stored XSS) अनधिकृत Discord उपयोगकर्ताओं को /api/config के माध्यम से सभी सीक्रेट्स (secrets) निकालने की अनुमति देता है

यह XSS भेद्यता हमलावरों को Anchorr बॉट व्यवस्थापक के ब्राउज़र में दुर्भावनापूर्ण JavaScript कोड इंजेक्ट करने की अनुमति देती है। एक बार जब कोड इंजेक्ट हो जाता है, तो हमलावर व्यवस्थापक की ओर से बॉट के साथ इंटरैक्ट कर सकता है, संवेदनशील जानकारी तक पहुंच सकता है और बॉट के कार्यों को नियंत्रित कर सकता है। विशेष रूप से, /api/config एंडपॉइंट के माध्यम से सभी संग्रहीत गुप्तों (जैसे DISCORDTOKEN, JELLYFINAPIKEY, JELLYSEERRAPI_KEY) को उजागर किया जा सकता है। इस जानकारी का उपयोग बॉट को नियंत्रित करने, मीडिया सर्वर तक अनधिकृत पहुंच प्राप्त करने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए किया जा सकता है। इस भेद्यता का प्रभाव गंभीर है क्योंकि यह बॉट और उसके उपयोगकर्ताओं दोनों के लिए सुरक्षा जोखिम पैदा करता है।

Discord server owners and administrators using Anchorr are at significant risk. Specifically, those who have configured the web dashboard with broad access permissions or have not implemented strong authentication measures are particularly vulnerable. Shared hosting environments where multiple Discord bots are hosted on the same server also increase the risk of lateral movement.

• nodejs / server: Monitor Anchorr logs for unusual JavaScript execution patterns. Use lsof or ss to check for unexpected network connections from the Anchorr process.

lsof -i -p $(pidof anchorr)

• generic web: Examine the web dashboard's User Mapping dropdown for suspicious input fields or unusual behavior. Check access logs for requests to /api/config from unauthorized users.

grep '/api/config' /var/log/apache2/access.log

1. 2026-03-20Disclosure

   disclosure

1. आरक्षित2026-03-16
2. प्रकाशित2026-03-20
3. EPSS अद्यतन2026-03-27

CVE-2026-32890 को कम करने का प्राथमिक तरीका Anchorr बॉट को संस्करण 1.4.2 में अपडेट करना है। यह संस्करण भेद्यता को ठीक करता है और बॉट को सुरक्षित करता है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी उपाय के रूप में, बॉट के वेब डैशबोर्ड तक पहुंच को केवल विश्वसनीय उपयोगकर्ताओं तक सीमित करना चाहिए। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) को XSS हमलों को ब्लॉक करने के लिए कॉन्फ़िगर किया जा सकता है। बॉट के कॉन्फ़िगरेशन फ़ाइलों में किसी भी संवेदनशील जानकारी को एन्क्रिप्ट करने पर विचार करें। नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग भी बॉट की सुरक्षा को बनाए रखने में मदद कर सकते हैं।