PT-2026-29262 · Fastgpt · Fastgpt
CVSS v3.1
10
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FastGPT السابقة للإصدار 4.14.9.5
الوصف
FastGPT هي منصة لإنشاء وكلاء الذكاء الاصطناعي. كانت نقطة نهاية اختبار أدوات HTTP (’/api/core/app/httpTools/runTool‘) مكشوفة دون مصادقة في الإصدارات الأقدم من 4.14.9.5. تعمل نقطة النهاية هذه كوكيل HTTP كامل، حيث تقبل قيم
baseUrl وtoolPath التي يزودها المستخدم، وطريقة HTTP، والرؤوس المخصصة، والنص الأساسي، ثم تقوم بإجراء طلب HTTP من جانب الخادم وإرجاع الاستجابة الكاملة. وهذا يتيح لمهاجم غير مصدق عليه إمكانية سرقة رموز API والوصول إلى الخدمات الداخلية وإرسال طلبات HTTP تعسفية. تؤدي هذه المشكلة إلى حدوث حالة تزوير الطلبات من جانب الخادم (SSRF)، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).التوصيات
تحديث FastGPT إلى الإصدار 4.14.9.5 أو أحدث.
استغلال
إصلاح
SSRF
Missing Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Fastgpt