CVE-2026-123788 Aplicación de flujo de trabajo conductual en chenyme grok2api STT Billing voice_ws_handler.go
Una función desconocida de backend/internal/transport/http/inference/voice_ws_handler.go, en el componente STT Billing, permite la aplicación de un flujo de trabajo conductual. El ataque puede iniciarse de forma remota. Actualizar a la versión 3.1.7 resuelve el problema.
CVSS 3.1
- CVSS 4.05.3 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 19
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
chenyme grok2api
3.1.03.1.13.1.23.1.33.1.43.1.53.1.6
Qué hacer
- Verificá si usás grok2api y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N/E:X/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
CVSS 3.0 · 4.3 MEDIA
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N/E:X/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
Descripción original
A security vulnerability has been detected in chenyme grok2api up to 3.1.6. The impacted element is an unknown function of the file backend/internal/transport/http/inference/voice_ws_handler.go of the component STT Billing. The manipulation leads to enforcement of behavioral workflow. The attack may be initiated remotely. Upgrading to version 3.1.7 is sufficient to resolve this issue. The identifier of the patch is 7ad0f791f0a9eb5a0ddfe38ac4dfcef01e19a6d4. Upgrading the affected component is recommended.
Referencias (9)
- vuldb.com/vuln/431934
- vuldb.com/vuln/431934/cti
- vuldb.com/cve/CVE-2026-123788
- vuldb.com/submit/1033606
- github.com/chenyme/grok2api/issues/1072
- github.com/chenyme/grok2api/pull/1073
- github.com/chenyme/grok2api/commit/7ad0f791f0a9eb5a0ddfe38ac4dfcef01e19a6d4
- github.com/chenyme/grok2api/releases/tag/v3.1.7
- github.com/chenyme/grok2api/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.