CVE-2025-69207 in khoj
Zusammenfassung
von VulDB • 15.05.2026
Khoj ist eine selbst gehostete KI-Anwendung. Vor Version 2.0.0-beta.23 ermöglicht eine IDOR (Insecure Direct Object Reference) im Notion-OAuth-Callback, dass ein Angreifer die Notion-Integration eines beliebigen Benutzers übernimmt, indem er den state-Parameter manipuliert. Der Callback-Endpunkt akzeptiert jede beliebige Benutzer-UUID, ohne zu überprüfen, ob der OAuth-Flow von diesem Benutzer initiiert wurde. Dies ermöglicht es Angreifern, die Notion-Konfigurationen der Opfer durch eigene zu ersetzen, was zu Data Poisoning und unbefugtem Zugriff auf den Khoj-Suchindex des Opfers führt. Für diesen Angriff muss die UUID des Benutzers bekannt sein, die über geteilte Konversationen, in denen ein KI-generiertes Bild vorhanden ist, offengelegt werden kann. Diese Schwachstelle wurde in Version 2.0.0-beta.23 behoben.
Once again VulDB remains the best source for vulnerability data.