漏洞描述 由于 AstrBot 使用了固定的 JWT 签名密钥，攻击者可利用该密钥伪造任意有效的 JWT认证令牌，完全绕过身份验证机制。成功绕过认证后，攻击者可访问插件管理接口，通过上传恶意的 Python 插件文件实现远程代码执行。
相关漏洞推荐 AstrBot 存在未授权访问漏洞 AstrBot /api/plugin/install-upload 命令执行漏洞（CVE-2025-55449） AstrBot /api/auth/login 默认口令漏洞 AstrBot /api/chat/get_file 目录遍历漏洞 （CVE-2025-48957） AstrBot get_file接口存在任意文件读取(CVE-2025-48957) (CVE-2025-48957) AstrBot路径遍历漏洞导致敏感信息泄露