CVE-2026-123024 Falta de autenticación en get_current_user_id de AgentScope Agent Service
La manipulación del argumento X-User-ID en la función get_current_user_id del archivo src/agentscope/app/deps.py del componente Agent Service provoca falta de autenticación. El ataque puede ejecutarse de forma remota y el exploit ya es público. El pull request que corrige el problema aún espera aceptación.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 52
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
agentscope-ai AgentScope
2.0.02.0.12.0.22.0.32.0.42.0.52.0.62.0.72.0.82.0.92.0.102.0.11
Qué hacer
- Verificá si usás AgentScope y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.3 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 7.3 ALTA
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Confianza del informeConfirmada
Descripción original
A vulnerability has been found in agentscope-ai AgentScope up to 2.0.11. This impacts the function get_current_user_id of the file src/agentscope/app/deps.py of the component Agent Service. Such manipulation of the argument X-User-ID leads to missing authentication. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. The pull request to fix this issue awaits acceptance.
Referencias (8)
- vuldb.com/vuln/431397
- vuldb.com/vuln/431397/cti
- vuldb.com/cve/CVE-2026-123024
- vuldb.com/submit/1033132
- github.com/agentscope-ai/agentscope/issues/3314
- github.com/agentscope-ai/agentscope/pull/3448
- github.com/ybyu-ieu/agent-security-advisories/blob/main/agentscope/agentscope-agent-servi…
- github.com/agentscope-ai/agentscope/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.