A security flaw has been discovered in AstrBotDevs AstrBot 4.23.6. This vulnerability affects unknown code of the file /api/skills/delete of the component API Endpoint. Performing a manipulation of the argument Name results in path traversal. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
CVE-2026-10213 is a path traversal vulnerability in AstrBot 4.23.6's API endpoint /api/skills/delete that allows remote attackers to manipulate the 'Name' parameter to access unauthorized files. With a CVSS score of 5.4 (medium) and public exploit availability, this poses a moderate risk to organizations using this bot framework. The vendor's non-responsiveness increases urgency for immediate mitigation.
Immediate Actions:
1. Inventory all AstrBot 4.23.6 deployments across your organization
2. Restrict network access to /api/skills/delete endpoint using WAF rules or network ACLs
3. Implement input validation: reject any 'Name' parameter containing '../', '..\', or null bytes
4. Enable API request logging and monitor for suspicious path traversal patterns
Compensating Controls:
5. Deploy Web Application Firewall (WAF) rules to block path traversal attempts (ModSecurity rule: SecRule ARGS:Name "@rx (?:\.\./|\.\.\\)")
6. Run file integrity monitoring on configuration directories
7. Implement principle of least privilege for API service account permissions
8. Isolate AstrBot instances in network segments with restricted file system access
Long-term:
9. Migrate to alternative bot frameworks with active security support
10. Contact AstrBotDevs for security updates or consider forking the project for internal patching
11. Conduct security code review of custom API integrations
الإجراءات الفورية:
1. قم بحصر جميع نشرات AstrBot 4.23.6 عبر مؤسستك
2. قيد الوصول إلى نقطة نهاية /api/skills/delete باستخدام قواعد WAF أو قوائم التحكم في الوصول
3. تطبيق التحقق من المدخلات: رفض أي معامل 'Name' يحتوي على '../' أو '..\' أو بايتات فارغة
4. تفعيل تسجيل طلبات API ومراقبة محاولات اجتياز المسار المريبة
الضوابط البديلة:
5. نشر قواعد جدار الحماية (WAF) لحجب محاولات اجتياز المسار
6. تشغيل مراقبة سلامة الملفات على مجلدات التكوين
7. تطبيق مبدأ أقل امتياز لأذونات حساب خدمة API
8. عزل مثيلات AstrBot في قطاعات الشبكة ذات الوصول المحدود لنظام الملفات
المدى الطويل:
9. الهجرة إلى أطر عمل بوت بديلة مع دعم أمان نشط
10. التواصل مع AstrBotDevs للحصول على تحديثات أمان أو النظر في نسخ المشروع للتصحيح الداخلي
11. إجراء مراجعة أمان الكود للتكاملات المخصصة