CVE-2026-114108 — absence d’authentification sur l’interface FastAPI de HKUDS Vibe-Trading

Veille sécuritéBackend & données

P3Critique

CVE-2026-114108 concerne HKUDS Vibe-Trading, et non le paquet ou le projet FastAPI lui-même : une absence d’authentification sur son interface FastAPI peut permettre à des attaquants non authentifiés d’accéder à des fonctions sensibles. Les versions de 0.1.0 à celles antérieures à 0.1.7 sont concernées ; mettre à niveau vers 0.1.7 ou une version ultérieure.

IdentifiantCVE-2026-114108

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.1.7

Source : NVD — CVE-2026-114108

Analyse technique

Selon le candidat NVD, require_auth() retourne prématurément lorsque API_AUTH_KEY n’est pas définie ; l’accès non authentifié peut exposer des opérations sensibles de l’API.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une publication le 2026-10-21 à 01:17:36.820Z, soit le 2026-10-21 à 03:17:36.820+02:00, dans la période demandée. L’avis GitHub associé est antérieur et ne constitue pas, à lui seul, un événement nouveau dans cette période.

ImpactAccès non autorisé à l’API ; le candidat décrit notamment des risques d’exécution de commandes, d’écriture de fichiers et d’exposition de données de session.

Versions affectéesHKUDS Vibe-Trading de 0.1.0 à toute version antérieure à 0.1.7.

Version corrigée0.1.7

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.3

EPSS0,36% · percentile 28,1%

Publication2026-10-21T03:17:36.820+02:00

Détection / vérification

Vérifier la version de HKUDS Vibe-Trading déployée et si son API FastAPI est accessible sans authentification, notamment lorsque API_AUTH_KEY n’est pas configurée.

Action recommandée

Mettre à niveau HKUDS Vibe-Trading vers la version 0.1.7 ou ultérieure et ne pas exposer l’API sans authentification.

Sources

NVD — CVE-2026-114108

Priorisation DFS : P3 · 1 source(s).