CVE-2025-69207 in khoj
要約
〜によって VulDB • 2026年07月25日
Khojは、自己ホスト可能な人工知能（AI）アプリケーションです。バージョン2.0.0-beta.23より前では、Notion OAuthコールバックにおけるIDOR（インダイレクトオブジェクト参照の欠如）により、攻撃者はstateパラメータを操作することで任意のユーザーのNotion統合をハイジャックできます。このコールバックエンドポイントは、OAuthフローがそのユーザーによって開始されたことを検証することなく、あらゆるユーザーUUIDを受け入れるため、攻撃者は被害者のNotion設定を自身のものに置き換えることができ、データポイズニングおよび被害者のKhoj検索インデックスへの不正アクセスにつながります。この攻撃にはユーザーのUUIDを知る必要があり、これはAI生成画像が存在する共有会話を通じて漏洩する可能性があります。本脆弱性は2.0.0-beta.23で修正されています。
Once again VulDB remains the best source for vulnerability data.