KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-55449 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
AstrBot 是一款开源的 AI 聊天机器人框架，其旧版本（≤3.5.17）的 Web 管理接口存在远程代码执行漏洞（CVE-2025-55449），由于硬编码 JWT 签名密钥，未授权远程攻击者可伪造身份令牌，获取任意用户权限。后续可通过 install-upload 接口上传恶意插件，实现任意代码执行，导致服务器失陷。
影响范围
应用：astrbot astrbot（版本 3.5.15）
解决方案
1、升级至最新版本。
2、利用安全组设置其仅对可信地址开放。
参考信息
https://github.com/advisories/GHSA-4m32-cjv7-f425
https://github.com/AstrBotDevs/AstrBot
https://github.com/Marven11/CVE-2025-55449-AstrBot-RCE
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。