Botpress divulgue une faille ayant exposé des configs de bots dans 16 espaces clients
Post entreprise: l'attaquant a abusé d'un défaut du proxy d'auth interne et d'une clé API employé du 13–21 oct; les configs peuvent contenir des secrets tiers; rotation demandée.
Pourquoi c’est important
Botpress: l'attaquant a sondé un proxy dès le 12 octobre, forgé des sessions staff, puis le 21 octobre utilisé une API employé admin pour lire 16 espaces et modifier deux autres. Motif allégué: revente de crédits IA; pas de rançon ni fuite publiée. Contenir le jour même; rotation en cours. Rappel que les plateformes d'agents stockent des clés tiers dans les configs.
Faits clés
- Divulgation le 6 nov
- Défaut du proxy d'auth exploité dès le 12 oct
- Clé API employé utilisée le 21 oct 07:44–08:23 UTC
- Configs de 16 espaces lues; 2 changements d'intégration
- Traiter les credentials stockées comme exposées