CVE-2026-61643
Açıklama
FastGPT, bilgi tabanlı bir yapay zeka uygulama platformudur. 4.14.17 ile 4.15.0-beta5 sürümleri arasında, kimliği doğrulanmış bir FastGPT kullanıcısı, http-<victim_toolset_app_id>/<tool_name> gibi özel olarak hazırlanmış bir kaydedilmiş araç kimliği kullanarak başka bir kullanıcının gizli HTTP araç setine işaret eden bir iş akışı düğümü kaydedebilir. Normal araç seti rotaları erişimi reddeder ancak iş akışı kaydetme ve çalışma zamanı yolu, referans verilen araç seti için aynı yetkilendirme kontrolünü uygulamamıştır; bu durum /api/v2/chat/completions uç noktasının kaydedilen referansı çözümlemesine ve mağdurun sahip olduğu HTTP aracını çalıştırmasına olanak tanır. Bu sorun 4.15.0-beta5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| labring FastGPT | >= 4.14.17, < 4.15.0-beta5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.