В @eeacms/volto-chatbot нашли уязвимость с обходом авторизации

@eeacms/volto-chatbot до версии 2.0.3 содержит уязвимость confused deputy (CWE-862, CVSS 8.2): прокси-маршруты /_v1_da/** и /_v1_ha/** автоматически подставляют серверные ключи API без проверки клиента. Неаутентифицированный атакующий может вызывать административные методы Danswer (Onyx) и Halloumi (LLMGW). Исправлено в 2.0.4 через белые списки путей.

• CVSS 8.2, CWE-862, затронуты версии 2.0.3 и ниже
• Прокси сам добавляет DANSWER_API_KEY и LLMGW_TOKEN к запросам
• Публичный PoC; исправление в 2.0.4 с allowlist путей
• Рекомендуется ротация ключей и проверка логов на /api/admin/*