CVE-2026-40100 in FastGPT
Résumé
par VulDB • 28/05/2026
FastGPT est une plateforme de création d'agents IA. Avant la version 4.14.10.3, le point de terminaison /api/core/app/mcpTools/runTool accepte des URL arbitraires sans authentification. La vérification de l'adresse IP interne dans isInternalAddress() bloque uniquement les adresses IP privées lorsque CHECK_INTERNAL_IP=true, ce qui n'est pas la valeur par défaut. Cela permet aux attaquants non authentifiés d'effectuer des attaques SSRF contre les ressources du réseau interne. Cette vulnérabilité est corrigée dans la version 4.14.10.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.