情報取得日: 2026/10/21・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-114108 |
|---|---|
| 製品 | HKUDS / Vibe-Trading（0.1.0 以上 0.1.7 未満） |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-306 重要機能の認証欠如 |
| 登録／公開日 | 2026/10/21 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-114108 |
**AI 取引支援ツール Vibe-Trading の FastAPI サーバーで、環境変数 API_AUTH_KEY が未設定だと認証が素通りになり、未認証の攻撃者が任意のコマンドを実行できる。** NVD と開発元の GitHub アドバイザリ GHSA-v2f8-6655-7grj によれば、require_auth() が API_AUTH_KEY 未設定のときに早期リターンするため、攻撃者は /sessions/{id}/messages へメッセージを送って BashTool 経由で root のシェルコマンドを走らせ、/upload で .py や .sh を置き、セッション履歴の閲覧や API キーの一部取得もできる。 **評価値。** NVD の分析状態は Deferred（保留）で、CVSS 3.1 は **9.8 Critical**、CVSS 4.0 は 9.3。CISA KEV には収載されておらず、悪用の報告は確認できていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / ECS 上で動かしている場合は 0.1.7 以上へ更新し、API_AUTH_KEY を設定する。セキュリティグループで公開範囲を絞る。
AWS から本 CVE 個別の速報は確認できていない（2026-10-25 時点）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine / Cloud Run / GKE 上で動かしている場合は 0.1.7 以上へ更新し、API_AUTH_KEY を設定する。ファイアウォールで公開範囲を絞る。
GCP から本 CVE 個別の速報は確認できていない（2026-10-25 時点）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM / Container Apps / AKS 上で動かしている場合は 0.1.7 以上へ更新し、API_AUTH_KEY を設定する。NSG で公開範囲を絞る。
Azure から本 CVE 個別の速報は確認できていない（2026-10-25 時点）。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリのパッケージではなく上流のソフトウェア。導入元（pip など）から 0.1.7 以上へ更新する。
ディストリのセキュリティトラッカーに本 CVE の登録は確認できていない。
参照リンク
|
**Vibe-Trading を 0.1.7 以上へ更新する。** NVD の記述では影響範囲は 0.1.0 以上 0.1.7 未満で、0.1.7 が修正版。 **すぐ更新できない場合の回避策。** API_AUTH_KEY を必ず設定する（未設定が発火条件）。サービスをインターネットに公開せず、ファイアウォールやセキュリティグループで信頼できる送信元だけに絞る。公開していた場合は、保存していた API キーを失効して再発行する。 **完了条件**は、全ての稼働インスタンスが 0.1.7 以上で、API_AUTH_KEY が設定されていること。
Critical（CVSS 9.8）に分類されるHKUDS Vibe-Trading（0.1.0 以上 0.1.7 未満）の脆弱性です。**AI 取引支援ツール Vibe-Trading の FastAPI サーバーで、環境変数 API_AUTH_KEY が未設定だと認証が素通りになり、未認証の攻撃者が任意のコマンドを実行できる。** NVD と開発元の GitHub アドバイザリ GHSA-v2f8-6655-7grj によれば、require_auth() が API_AUTH_KEY 未設定のときに早期リターンするため、攻撃者は /sessions/{id}/messages へメッセージを送って BashTool 経由で root のシェルコマンドを走らせ、/upload で .py や .sh を置き、セッション履歴の閲覧や API キーの一部取得もできる。 **評価値。** NVD の分析状態は Deferred（保留）で、CVSS 3.1 は **9.8 Critical**、CVSS 4.0 は 9.3。CISA KEV には収載されておらず、悪用の報告は確認できていない。
**Vibe-Trading を 0.1.7 以上へ更新する。** NVD の記述では影響範囲は 0.1.0 以上 0.1.7 未満で、0.1.7 が修正版。 **すぐ更新できない場合の回避策。** API_AUTH_KEY を必ず設定する（未設定が発火条件）。サービスをインターネットに公開せず、ファイアウォールやセキュリティグループで信頼できる送信元だけに絞る。公開していた場合は、保存していた API キーを失効して再発行する。 **完了条件**は、全ての稼働インスタンスが 0.1.7 以上で、API_AUTH_KEY が設定されていること。
HKUDS Vibe-Trading（0.1.0 以上 0.1.7 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-114108）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。