CVE-2026-30950

Nome do Software Vulnerável e Versões Afetadas AutoGPT versões 0.6.36 a 0.6.50

Descrição O AutoGPT é uma plataforma de automação de fluxo de trabalho para criar, implantar e gerenciar agentes de inteligência artificial contínuos. O software está sujeito ao Sequestro de Sessão Autenticada via Insecure Direct Object Reference (IDOR), uma falha em que uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Um invasor autenticado que determine o session id de outro usuário pode assumir o controle dessa sessão, ler todas as mensagens e bloquear o usuário legítimo. Isso ocorre porque o endpoint 'PATCH /sessions/{session id}/assign-user' autentica quem faz a chamada, mas não verifica a propriedade da sessão. A camada de serviço invoca a busca da sessão com o user id definido como None, o que a camada de acesso a dados interpreta como uma chamada de sistema privilegiada, ignorando o filtro de propriedade e permitindo que qualquer usuário autenticado reatribua uma sessão arbitrária para si mesmo.

Recomendações Atualizar para a versão 0.6.51.