CVE-2026-61643
Təsvir
FastGPT bilik əsaslı süni intellekt tətbiq platformasıdır. 4.14.17 versiyasından 4.15.0-beta5 versiyasına qədər autentifikasiyadan keçmiş FastGPT istifadəçisi http-<victim_toolset_app_id>/<tool_name> kimi hazırlanmış yadda saxlanılmış alət identifikatorundan istifadə edərək başqa istifadəçinin şəxsi HTTP alətlər dəstinə işarə edən iş axını qovşağını yadda saxlaya bilər. Normal alətlər dəsti marşrutları girişi rədd edir, lakin iş axınının yadda saxlanılması və icra vaxtı yolu istinad edilən alətlər dəstinə eyni avtorizasiya yoxlamasını tətbiq etmirdi və bu, /api/v2/chat/completions ünvanına yadda saxlanılmış istinada qərar verməyə və zərərçəkənə məxsus HTTP alətini icra etməyə imkan verirdi. Bu problem 4.15.0-beta5 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| labring FastGPT | >= 4.14.17, < 4.15.0-beta5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.