A vulnerability was found in AstrBotDevs AstrBot up to 4.22.1. This issue affects the function install_plugin_upload of the file astrbot/dashboard/routes/plugin.py of the component install-upload Endpoint. The manipulation of the argument File results in sandbox issue. The attack can be executed remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
AstrBot versions up to 4.22.1 contain a sandbox bypass vulnerability in the plugin upload functionality that allows remote attackers to execute arbitrary code. The vulnerability exists in the install_plugin_upload function where file manipulation can circumvent security restrictions.
تؤثر هذه الثغرة على وظيفة تحميل المكونات الإضافية في AstrBot حيث يمكن للمهاجمين تجاوز قيود الحماية الرملية من خلال التلاعب بمعاملات الملفات. تم الإفصاح العام عن الاستغلال مما يزيد من خطر الهجمات الفعلية. المشروع لم يستجب للإشعارات المبكرة حول المشكلة.
تم اكتشاف ثغرة في AstrBot الإصدارات حتى 4.22.1 تسمح بتجاوز الحماية الرملية في وظيفة تحميل المكونات الإضافية. يمكن للمهاجمين البعيدين التلاعب بمعاملات الملفات لتنفيذ أكواد عشوائية على الخادم.
Upgrade AstrBot to version 4.22.2 or later immediately. Implement strict file upload validation, disable plugin upload functionality if not required, restrict access to the plugin installation endpoint using network-level controls, and monitor for suspicious plugin upload attempts in logs.
قم بترقية AstrBot إلى الإصدار 4.22.2 أو أحدث فوراً. طبق التحقق الصارم من الملفات المرفوعة، عطّل وظيفة تحميل المكونات الإضافية إذا لم تكن مطلوبة، قيّد الوصول إلى نقطة نهاية تثبيت المكونات الإضافية باستخدام عناصر التحكم على مستوى الشبكة، وراقب محاولات التحميل المريبة.