CVE-2026-44286 in FastGPT
الملخص
بحسب VulDB • 21/05/2026
FastGPT هو منصة لبناء وكلاء الذكاء الاصطناعي (AI Agents). قبل الإصدار 4.14.17، تتيح ثغرة تزوير الطلبات من جانب الخادم (SSRF) غير المصادق عليها للمهاجمين (أو المستخدمين المصادق عليهم الذين يتمتعون بصلاحيات تعديل التطبيقات) إرسال طلبات HTTP تعسفية إلى عناوين الشبكات الداخلية/الخاصة. تستخدم دالة fetchData في عقدة سير العمل lafModule مكتبة axios لجلب عناوين URL التي يتحكم فيها المستخدم دون التحقق منها مقابل قائمة حظر الشبكة الداخلية للتطبيق (isInternalAddress)، مما يتجاوز حماية SSRF. تم إصلاح هذه المشكلة في الإصدار 4.14.17.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.