AstrBotDevs AstrBot MCP Endpoint tools.py add_mcp_server command injection

AstrBot में एक कमांड इंजेक्शन भेद्यता की पहचान की गई है, विशेष रूप से astrbot/dashboard/routes/tools.py फ़ाइल के addmcpserver फ़ंक्शन में। यह दोष, 4.22.1 से पहले के संस्करणों में मौजूद है, जो एक दूरस्थ हमलावर को कमांड तर्क को हेरफेर करके अंतर्निहित सिस्टम पर मनमाना कमांड निष्पादित करने की अनुमति देता है। इस भेद्यता को CVSS पैमाने पर 6.3 के रूप में रेट किया गया है, जो मध्यम से उच्च जोखिम दर्शाता है। यह तथ्य कि शोषण दूरस्थ रूप से संभव है और जानकारी सार्वजनिक रूप से प्रकटीकरण की गई है, AstrBot उपयोगकर्ताओं के लिए जोखिम को काफी बढ़ाता है। समस्या की सूचना दिए जाने के बावजूद डेवलपर की प्रतिक्रिया की कमी एक चिंताजनक कारक है।

Organizations deploying AstrBot versions 4.22.0 through 4.22.1, particularly those with limited network segmentation or inadequate input validation practices, are at significant risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromise of one user's account could lead to a broader system compromise.

• python / server:

journalctl -u astrbot -g 'command injection'

• python / server:

ps aux | grep -i 'add_mcp_server' | grep -v grep

• generic web:

curl -I http://your-astrbot-server/dashboard/tools/add_mcp_server | grep -i 'command injection'

1. 2026-04-12Disclosure

   disclosure

1. आरक्षित2026-04-11
2. प्रकाशित2026-04-12
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-19

चूंकि डेवलपर ने CVE-2026-6118 के लिए कोई फिक्स (पैच) प्रदान नहीं किया है, इसलिए 4.22.1 से पहले के संस्करणों में AstrBot उपयोगकर्ताओं को तत्काल कार्रवाई करने की दृढ़ता से सलाह दी जाती है। हालांकि कोई सीधा समाधान नहीं है, AstrBot डैशबोर्ड तक दूरस्थ पहुंच को अक्षम या प्रतिबंधित करने की सिफारिश की जाती है जब तक कि कोई अपडेट जारी न हो जाए। फ़ायरवॉल और घुसपैठ का पता लगाने वाले सिस्टम को लागू करने से जोखिम को कम करने में मदद मिल सकती है। संदिग्ध गतिविधि के लिए सिस्टम लॉग की निगरानी करना महत्वपूर्ण है। यदि भेद्यता आपके पर्यावरण के लिए अस्वीकार्य जोखिम पैदा करती है, तो वैकल्पिक समाधान पर विचार करें।