PT-2026-33520

CVE-2026-40352

Publicado

2026-04-17

Atualizado

2026-04-27

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions FastGPT versões anteriores a 4.14.9.5

Description O endpoint de alteração de senha é suscetível a injeção NoSQL, uma técnica onde operadores de consulta MongoDB são injetados em uma consulta ao banco de dados. Um invasor autenticado pode usar isso para ignorar a verificação da senha antiga. Isso permite que um usuário com uma sessão de baixo privilégio altere senhas de contas sem saber a senha atual, levando potencialmente ao controle total da conta e persistência.

Recommendations Atualizar para a versão 4.14.9.5.

Explorabilidade

Exploit

Correção

Pesquisadores

August829

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-943: Improper Neutralization of Special Elements in Data Query Logic

Identificadores relacionados

CVE-2026-40352