« Volver al listado

CVE-2025-47948

Estado: AplazadaAlta (7.2)—

Cocotais Bot is a QQ official robot framework based on qq-bot-sdk. Starting in version 1.5.0-test2-hotfix and prior to version 1.6.2, command echoing feature in the framework allows users to indirectly trigger privileged behavior by injecting special platform tags. Specifically, an unauthorized user can use the `/echo <qqbot-at-everyone />` command to cause the bot to send a message that mentions all members in the chat, bypassing any permission controls. This can lead to spam, disruption, or abuse of notification systems. Version 1.6.2 contains a patch for the issue.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad remota en API pública del bot (AV:N, PR:N, UI:N): inyección de tags especiales en comando /echo permite envío masivo de mensajes sin autorización, causando spam y disrupción de notificaciones.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningUser TrainingUser Account ManagementRestrict Web-Based ContentPrivileged Account Management

Tecnologías afectadas (2)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Cocotais — Cocotais BOTAITencent — Qq-bot-sdkAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-47948",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2025-47948",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2025-05-19T14:43:47.464051Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 7.2,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:L",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "LOW",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 2.7,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "cocotais",
          "product": "cocotais-bot",
          "versions": [
            {
              "status": "affected",
              "version": ">= 1.5.0-test2-hotfix, < 1.6.2"
            }
          ]
        }
      ]
    }
  ],
  "published": "2025-05-17T19:15:46.667",
  "references": [
    {
      "url": "https://github.com/cocotais/cocotais-bot/commit/d1cf01a9a41b3131241d1833444b890c8d6e70b8",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/cocotais/cocotais-bot/security/advisories/GHSA-mj2c-8hxf-ffvq",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/cocotais/cocotais-bot/security/advisories/GHSA-mj2c-8hxf-ffvq",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-74"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Cocotais Bot is a QQ official robot framework based on qq-bot-sdk. Starting in version 1.5.0-test2-hotfix and prior to version 1.6.2, command echoing feature in the framework allows users to indirectly trigger privileged behavior by injecting special platform tags. Specifically, an unauthorized user can use the `/echo <qqbot-at-everyone />` command to cause the bot to send a message that mentions all members in the chat, bypassing any permission controls. This can lead to spam, disruption, or abuse of notification systems. Version 1.6.2 contains a patch for the issue."
    },
    {
      "lang": "es",
      "value": "Cocotais Bot es un framework oficial de QQ basado en qq-bot-sdk. A partir de la versión 1.5.0-test2-hotfix y anteriores a la 1.6.2, la función de eco de comandos del framework permite a los usuarios activar indirectamente comportamientos privilegiados mediante la inyección de etiquetas especiales de la plataforma. En concreto, un usuario no autorizado puede usar el comando `/echo ` para que el bot envíe un mensaje que mencione a todos los miembros del chat, omitiendo así cualquier control de permisos. Esto puede generar spam, interrupciones o abuso de los sistemas de notificación. La versión 1.6.2 incluye un parche para este problema."
    }
  ],
  "lastModified": "2026-06-17T09:28:53.100",
  "sourceIdentifier": "security-advisories@github.com"
}