Plateforme
nodejs
Composant
fastgpt
Corrigé dans
4.14.11
La vulnérabilité CVE-2026-40252 affecte FastGPT, une plateforme de construction d'agents d'IA. Avant la version 4.14.10.4, une faille d'accès non contrôlé (IDOR/BOLA) permet à n'importe quelle équipe authentifiée d'accéder et d'exécuter des applications appartenant à d'autres équipes en fournissant un appId externe. Bien que l'API valide correctement le jeton d'équipe, elle ne vérifie pas que l'application demandée appartient à l'équipe authentifiée. Cette vulnérabilité est corrigée dans la version 4.14.10.4.
CVE-2026-40252 affecte FastGPT, une plateforme de construction d'agents d'IA. Une vulnérabilité de Contrôle d'Accès Brisée (IDOR/BOLA) permet à toute équipe authentifiée d'accéder et d'exécuter des applications appartenant à d'autres équipes en fournissant un 'appId' externe. Bien que l'API valide correctement le jeton d'équipe, elle ne vérifie pas si l'application demandée appartient à l'équipe authentifiée. Cela conduit à une exposition de données entre locataires et à une exécution non autorisée de flux de travail d'IA privés. L'impact est significatif, car un attaquant pourrait compromettre la confidentialité, l'intégrité et la disponibilité des données et des applications appartenant à d'autres équipes au sein de la plateforme FastGPT. La gravité de cette vulnérabilité nécessite une attention immédiate pour éviter d'éventuelles violations de sécurité et pertes de données.
Un attaquant ayant un accès authentifié à la plateforme FastGPT pourrait exploiter cette vulnérabilité. L'attaquant aurait besoin de connaître ou de deviner le 'appId' d'une application appartenant à une autre équipe. Une fois qu'il a ce 'appId', il peut demander l'accès et l'exécution de l'application, en contournant les vérifications de contrôle d'accès. L'authentification de l'attaquant est suffisante pour exploiter la vulnérabilité, ce qui signifie qu'aucun accès privilégié supplémentaire n'est requis. La facilité d'exploitation, combinée à l'impact potentiel sur la confidentialité et l'intégrité des données, fait de cette vulnérabilité une préoccupation importante.
Organizations utilizing FastGPT for AI agent development and deployment, particularly those with multiple teams sharing a single FastGPT instance, are at risk. Shared hosting environments where multiple tenants share the same FastGPT deployment are especially vulnerable.
• nodejs / server:
grep -r 'appId' /path/to/fastgpt/source_code | grep -i 'team_token'• generic web:
curl -I 'https://your-fastgpt-instance.com/api/applications/<foreign_app_id>?team_token=<valid_team_token>' # Check for 200 OK when it shouldn't bedisclosure
Statut de l'Exploit
EPSS
0.06% (percentile 20%)
CISA SSVC
La solution à CVE-2026-40252 consiste à mettre à niveau FastGPT vers la version 4.14.10.4 ou supérieure. Cette version inclut une correction qui valide correctement la propriété de l'application par l'équipe authentifiée, atténuant ainsi le risque d'accès non autorisé. Tous les utilisateurs de FastGPT sont fortement encouragés à appliquer cette mise à niveau dès que possible. De plus, examinez les configurations de sécurité de votre plateforme pour vous assurer qu'elles respectent les meilleures pratiques de sécurité, telles que les contrôles d'accès basés sur les rôles et la surveillance continue de l'activité du système. La mise à niveau est la mesure préventive la plus importante pour se protéger contre cette vulnérabilité.
Actualice FastGPT a la versión 4.14.10.4 o superior para mitigar la vulnerabilidad de control de acceso roto. Esta actualización corrige la falta de verificación de la pertenencia de la aplicación al equipo autenticado, previniendo el acceso no autorizado a aplicaciones y flujos de trabajo de IA privados.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
IDOR (Indirect Object Reference) et BOLA (Broken Object Level Authorization) sont des types de vulnérabilités de contrôle d'accès qui permettent aux utilisateurs d'accéder à des objets ou à des données auxquels ils ne devraient pas être autorisés à voir ou à modifier.
Si vous utilisez une version de FastGPT antérieure à 4.14.10.4, vous êtes probablement affecté. Vérifiez votre version actuelle et mettez-la à niveau immédiatement.
Examinez les journaux d'audit à la recherche d'activités suspectes. Assurez-vous que tous les utilisateurs disposent des autorisations minimales nécessaires et envisagez de réaliser un audit de sécurité complet.
Si vous ne pouvez pas mettre à niveau immédiatement, mettez en œuvre des contrôles d'accès supplémentaires au niveau de l'application pour restreindre l'accès aux applications des autres équipes.
Consultez la documentation officielle de FastGPT et les sources de sécurité de l'industrie pour plus d'informations sur cette vulnérabilité et sur la façon de vous protéger.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.