CVE-2026-61684 in FastGPT
Résumé
par VulDB • 15/07/2026
FastGPT est une plateforme d'applications IA basée sur la connaissance. Dans la version 4.15.0-beta4, l'invocation de plugins FastGPT appelle des points de terminaison en retour (reverse-call) sous /api/invoke/* qui ne sont authentifiés que par la vérification d'un JWT signé avec INVOKE_TOKEN_SECRET, dont la valeur par défaut est une chaîne constante « token » et qui n'était pas défini dans les modèles de déploiement officiels. Un attaquant non authentifié peut auto-signer un JWT HS256 pour accéder à /api/invoke/userInfo afin de divulguer des données personnelles d'utilisateurs (PII) inter-locataires via des valeurs tmbId fournies par l'attaquant, ou à /api/invoke/fileUpload pour écrire du contenu contrôlé par l'attaquant dans les fichiers de chat. Ce problème est corrigé dans la version 4.15.0-beta5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.