What’s Vulnerable › Vulnerabilities

CVE-2026-116485: danmu_api before 1.21.7 Authentication Bypass via Default Token in Env Endpoints

Description

danmu_api before 1.21.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to modify server environment configuration when the default TOKEN is used and ADMIN_TOKEN is unset. Attackers can send POST requests to /api/env/set, /api/env/add, or /api/env/del to set ADMIN_TOKEN, lock out operators, redirect OTHER_SERVER or PROXY_URL for SSRF, and trigger redeployment.

Summary

danmu_api before 1.21.7 has an authentication bypass: when the default TOKEN is in use and ADMIN_TOKEN is unset, unauthenticated attackers can call /api/env/set, /api/env/add, or /api/env/del to change server environment configuration. This lets them set ADMIN_TOKEN, lock out operators, redirect OTHER_SERVER or PROXY_URL for SSRF, and trigger redeployment. Rated CVSS 9.8 critical; not listed in CISA KEV, so no confirmed in-the-wild exploitation is reported. Upgrade to 1.21.7 or later, and as a mitigation set a strong non-default TOKEN and an explicit ADMIN_TOKEN.

تحتوي danmu_api قبل الإصدار 1.21.7 على ثغرة تجاوز للمصادقة، إذ يمكن لمهاجم غير مصادَق عليه، عند استخدام TOKEN الافتراضي وعدم تعيين ADMIN_TOKEN، إرسال طلبات POST إلى /api/env/set أو /api/env/add أو /api/env/del لتعديل إعدادات بيئة الخادم. ويتيح ذلك تعيين ADMIN_TOKEN وحجب المشغّلين وإعادة توجيه OTHER_SERVER أو PROXY_URL لتنفيذ SSRF وإطلاق إعادة النشر. صُنّفت الثغرة بدرجة 9.8 حرجة، وهي غير مدرجة في CISA KEV، لذا لا يوجد تأكيد باستغلالها فعلياً. يُنصح بالترقية إلى 1.21.7 أو أحدث، وكإجراء تخفيفي تعيين TOKEN قوي غير افتراضي وADMIN_TOKEN صريح.

Affected products

How to fix

Upgrade to a fixed version: huangxd- danmu_api 1.21.7. Check the vendor advisory for mitigations.

References

Get alerted when CVE-2026-116485 or the next vulnerability affects your stack