Platform
nodejs
Component
fastgpt
Opgelost in
4.14.10
CVE-2026-34162 is een Server-Side Request Forgery (SSRF) kwetsbaarheid in FastGPT. Een ongeauthenticeerde aanvaller kan via de HTTP tools testing endpoint server-side requests uitvoeren. Deze kwetsbaarheid treft versies ≤< 4.14.9.5. De kwetsbaarheid is verholpen in versie 4.14.9.5.
CVE-2026-34162 heeft betrekking op FastGPT, een platform voor het bouwen van AI-agenten, in versies vóór 4.14.9.5. De kwetsbaarheid ligt in het HTTP-tools test-endpoint (/api/core/app/httpTools/runTool), dat zonder authenticatie wordt blootgesteld. Dit stelt aanvallers in staat om te fungeren als een volledige HTTP-proxy, waarbij ze de baseUrl, de HTTP-methode, aangepaste headers en de body van de aanvraag kunnen controleren. Een aanvaller zou deze kwetsbaarheid kunnen gebruiken om HTTP-verkeer te onderscheppen en te manipuleren, toegang te krijgen tot beschermde interne resources, of zelfs man-in-the-middle-aanvallen uit te voeren. De CVSS-score voor deze kwetsbaarheid is 10.0, wat een kritiek risico aangeeft.
Het ontbreken van authenticatie op het /api/core/app/httpTools/runTool-endpoint stelt iedereen met netwerktoegang tot het systeem waarop FastGPT draait in staat om de kwetsbaarheid te exploiteren. Een aanvaller zou tools zoals curl of Postman kunnen gebruiken om kwaadaardige HTTP-verzoeken te verzenden en zich voor te doen als elke client. Het vermogen om de baseUrl en de headers te controleren, stelt aanvallers in staat om elke resource te targeten die toegankelijk is vanaf de FastGPT-server, inclusief interne services die normaal gesproken niet aan het internet worden blootgesteld. De proxy-achtige aard van het tool vergemakkelijkt man-in-the-middle-aanvallen en data-exfiltratie.
Organizations deploying FastGPT in environments with internal services accessible via HTTP are at significant risk. This includes those using FastGPT for internal AI agent development or integration with other internal systems. Shared hosting environments where FastGPT is deployed alongside other applications are particularly vulnerable, as an attacker could potentially leverage the SSRF vulnerability to access resources belonging to other tenants.
• nodejs / server:
ps aux | grep fastgpt
journalctl -u fastgpt | grep '/api/core/app/httpTools/runTool'• generic web:
curl -I <fastgpt_server>/api/core/app/httpTools/runTool?baseUrl=http://localhost:8080
# Check for unexpected responses or internal resource accessdisclosure
Exploit Status
EPSS
0.15% (36% percentiel)
CISA SSVC
CVSS-vector
De oplossing voor CVE-2026-34162 is het upgraden van FastGPT naar versie 4.14.9.5 of hoger. Deze versie bevat een correctie die de benodigde authenticatie implementeert om toegang te krijgen tot het /api/core/app/httpTools/runTool-endpoint. Daarnaast wordt aanbevolen om de netwerkbeveiligingsbeleidsregels te beoordelen en te versterken om de toegang tot FastGPT vanaf niet-vertrouwde bronnen te beperken. Het monitoren van systeemtoegangslogboeken op verdachte activiteiten is ook cruciaal om potentiële exploitatiepogingen te detecteren. Het implementeren van een Web Application Firewall (WAF) kan een extra beveiligingslaag bieden.
Update FastGPT naar versie 4.14.9.5 of hoger. Deze versie corrigeert de niet-geauthenticeerde SSRF (Server-Side Request Forgery) kwetsbaarheid in het endpoint /api/core/app/httpTools/runTool, die de diefstal van interne API-sleutels mogelijk maakte.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Een CVSS-score van 10.0 is de hoogste score op de CVSS-schaal en duidt op een kritieke kwetsbaarheid die gemakkelijk kan worden misbruikt en aanzienlijke gevolgen kan hebben.
Als u een versie van FastGPT gebruikt vóór 4.14.9.5, is de kans groot dat u getroffen bent. Controleer de geïnstalleerde versie op uw systeem.
Er is geen haalbaar alternatief voor het updaten. Authenticatie is de enige effectieve oplossing om deze kwetsbaarheid te verhelpen.
Isoleer het getroffen systeem van het netwerk, wijzig de wachtwoorden voor alle getroffen accounts en voer een forensisch onderzoek uit om de omvang van de inbreuk te bepalen.
U kunt meer informatie over FastGPT vinden op de officiële website en de bijbehorende documentatie.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.