CVE-2026-116485

要約

danmu_api の 1.21.7 より前のバージョンには認証回避の脆弱性があり、デフォルトの TOKEN が使われ ADMIN_TOKEN が未設定の場合、認証されていない攻撃者がサーバーの環境設定を変更できます。攻撃者は /api/env/set、/api/env/add、/api/env/del に POST リクエストを送ることで、ADMIN_TOKEN の設定、運用者の締め出し、SSRF のための OTHER_SERVER や PROXY_URL の書き換え、再デプロイの実行が可能です。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

danmu_api

このタグの新着を RSS で受け取る: danmu_api(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る