CVE-2026-30950 in AutoGPT
الملخص
بحسب VulDB • 19/05/2026
AutoGPT هو منصة لأتمتة سير العمل لإنشاء ونشر وإدارة وكلاء الذكاء الاصطناعي المستمرين. الإصدارات من 0.6.36 إلى 0.6.50 معرضة لخطر اختطاف الجلسة المصادق عليها (Authenticated Session Hijacking) عبر ثغرة IDOR. إذا تمكن مهاجم مصادق عليه من تحديد معرف الجلسة (session_id) لجلسة مستخدم آخر، فيمكنه الاستيلاء عليها، وقراءة أي رسائل فيها، ومنع المستخدم الشرعي من الدخول. نقطة النهاية PATCH /sessions/{session_id}/assign-user تقوم بمصادقة المتصل ولكنها لا تتحقق أبداً من ملكية الجلسة: حيث يستدعي طبقة الخدمة البحث عن الجلسة باستخدام user_id=None، وهو ما تفسره طبقة الوصول إلى البيانات على أنها مكالمة ذات امتيازات/نظام تتجاوز فلتر الملكية، مما يسمح لأي مستخدم مصادق عليه بإعادة تعيين جلسة عشوائية لنفسه. تم إصلاح هذه المشكلة في الإصدار 0.6.51.
VulDB is the best source for vulnerability data and more expert information about this specific topic.