Highc121914Yu

**Nome do Software Vulnerável e Versões Afetadas** FastGPT versões anteriores a 4.15.2 **Descrição** Os endpoints de canal de compartilhamento do WeChat (iLink) autorizam solicitações usando apenas o `shareId` público, sem verificar a identidade autenticada ou a propriedade da equipe. Como o `shareId` é exposto em URLs de chat compartilhadas, iframes e incorporações, um invasor não autenticado pode usá-lo para interromper ou sequestrar o bot do WeChat de uma equipe. Especificamente, o endpoint de logout verifica apenas a existência do ID antes de apagar o token do WeChat armazenado, e o endpoint de status do código QR permite que um invasor grave suas próprias credenciais de bot no `outLink` identificado pelo `shareId`. Isso permite que um invasor vincule o aplicativo de uma equipe vítima ao seu próprio bot, resultando na exposição de respostas privadas, substituição da vinculação legítima e consumo de recursos da vítima. **Recomendações** Atualizar para a versão 4.15.2.