CVE-2025-69207
Açıklama
Khoj, kendi sunucunuzda barındırabileceğiniz bir yapay zeka uygulamasıdır. 2.0.0-beta.23 sürümünden önce, Notion OAuth geri çağırma (callback) mekanizmasındaki bir IDOR, saldırganın state parametresini manipüle ederek herhangi bir kullanıcının Notion entegrasyonunu ele geçirmesine olanak tanır. Geri çağırma uç noktası, OAuth akışının söz konusu kullanıcı tarafından başlatıldığını doğrulamadan herhangi bir kullanıcı UUID'sini kabul eder; bu durum, saldırganların kurbanların Notion yapılandırmalarını kendi yapılandırmalarıyla değiştirmesine yol açarak veri zehirlemesine ve kurbanın Khoj arama dizinine yetkisiz erişime neden olur. Bu saldırı, yapay zeka tarafından oluşturulmuş bir görselin bulunduğu paylaşılan konuşmalar aracılığıyla sızdırılabilen kullanıcı UUID'sinin bilinmesini gerektirir. Bu güvenlik açığı 2.0.0-beta.23 sürümünde giderilmiştir.
Nasıl düzeltilir
- khoj khoj2.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| khoj khoj | v < 2.0.0, 2.0.0 | 2.0.0 |
| khojPyPI | v ≤ 2.0.0b25.dev3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.