Plataforma
nodejs
Componente
fastgpt
Corrigido em
4.14.11
O CVE-2026-40252 é uma vulnerabilidade de Broken Access Control (IDOR/BOLA) identificada na plataforma FastGPT, versões anteriores a 4.14.10.4. Um atacante autenticado pode acessar e executar aplicações pertencentes a outras equipes, explorando a falta de verificação da propriedade da aplicação. Essa falha resulta em exposição de dados e execução não autorizada de workflows privados, sendo corrigida na versão 4.14.10.4.
CVE-2026-40252 afeta o FastGPT, uma plataforma para a construção de agentes de IA. Uma vulnerabilidade de Controle de Acesso Quebrado (IDOR/BOLA) permite que qualquer equipe autenticada acesse e execute aplicativos pertencentes a outras equipes, simplesmente fornecendo um 'appId' externo. Embora a API valide corretamente o token da equipe, ela não verifica se o aplicativo solicitado pertence à equipe autenticada. Isso leva à exposição de dados entre inquilinos e à execução não autorizada de fluxos de trabalho de IA privados. O impacto é significativo, pois um atacante pode comprometer a confidencialidade, integridade e disponibilidade de dados e aplicativos pertencentes a outras equipes dentro da plataforma FastGPT. A gravidade desta vulnerabilidade exige atenção imediata para evitar possíveis violações de segurança e perda de dados.
Um atacante com acesso autenticado à plataforma FastGPT pode explorar esta vulnerabilidade. O atacante precisaria saber ou adivinhar o 'appId' de um aplicativo pertencente a outra equipe. Uma vez que tenha este 'appId', pode solicitar acesso e execução do aplicativo, ignorando as verificações de controle de acesso. A autenticação do atacante é suficiente para explorar a vulnerabilidade, o que significa que não é necessário acesso privilegiado adicional. A facilidade de exploração, combinada com o impacto potencial na confidencialidade e integridade dos dados, torna esta vulnerabilidade uma preocupação significativa.
Organizations utilizing FastGPT for AI agent development and deployment, particularly those with multiple teams sharing a single FastGPT instance, are at risk. Shared hosting environments where multiple tenants share the same FastGPT deployment are especially vulnerable.
• nodejs / server:
grep -r 'appId' /path/to/fastgpt/source_code | grep -i 'team_token'• generic web:
curl -I 'https://your-fastgpt-instance.com/api/applications/<foreign_app_id>?team_token=<valid_team_token>' # Check for 200 OK when it shouldn't bedisclosure
Status do Exploit
EPSS
0.06% (percentil 20%)
CISA SSVC
A solução para CVE-2026-40252 é atualizar o FastGPT para a versão 4.14.10.4 ou superior. Esta versão inclui uma correção que valida adequadamente a propriedade do aplicativo pela equipe autenticada, mitigando o risco de acesso não autorizado. Todos os usuários do FastGPT são fortemente aconselhados a aplicar esta atualização o mais rápido possível. Além disso, revise as configurações de segurança da sua plataforma para garantir a adesão às melhores práticas de segurança, como controles de acesso baseados em função e monitoramento contínuo da atividade do sistema. A atualização é a medida preventiva mais crítica para proteger contra esta vulnerabilidade.
Actualice FastGPT a la versión 4.14.10.4 o superior para mitigar la vulnerabilidad de control de acceso roto. Esta actualización corrige la falta de verificación de la pertenencia de la aplicación al equipo autenticado, previniendo el acceso no autorizado a aplicaciones y flujos de trabajo de IA privados.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
IDOR (Indirect Object Reference) e BOLA (Broken Object Level Authorization) são tipos de vulnerabilidades de controle de acesso que permitem que usuários acessem objetos ou dados que não deveriam ser capazes de ver ou modificar.
Se você estiver usando uma versão do FastGPT anterior à 4.14.10.4, provavelmente estará afetado. Verifique sua versão atual e atualize imediatamente.
Revise os logs de auditoria em busca de atividade suspeita. Certifique-se de que todos os usuários tenham as permissões mínimas necessárias e considere realizar uma auditoria de segurança abrangente.
Se não puder atualizar imediatamente, implemente controles de acesso adicionais no nível do aplicativo para restringir o acesso aos aplicativos de outras equipes.
Consulte a documentação oficial do FastGPT e as fontes de segurança do setor para obter mais informações sobre esta vulnerabilidade e como se proteger.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.