CVE-2026-54601
Təsvir
FastGPT açıq mənbəli AI bilik bazası platformasıdır. 4.14.17 versiyasından 4.15.0-beta4 versiyasına qədər FastGPT autentifikasiyadan keçmiş tenant istifadəçisinə POST /api/core/dataset/collection/create/reTrainingCollection sorğusunu elə çağırmağa imkan verir ki, nəticədə başqa tenant-a məxsus serverə aid datasetId dəyəri saxlanılır. Bu, qarışıq dataset obyektləri yaradır və sonrakı dataset, collection və training endpoint-ləri avtorizasiya qərarlarını uyğunsuz sahiblik əsaslarına görə verir, nəticədə qarışıq obyekt id-ləri məlum olduqda tenantlararası oxuma, yeniləmə və silmə girişinə imkan yaranır. Bu problem 4.15.0-beta4 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| labring FastGPT | >= 4.14.17, < 4.15.0-beta4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.