CVE-2026-61643 in FastGPT
요약
\~에 의해 VulDB • 2026. 07. 15.
FastGPT는 지식 기반 AI 애플리케이션 플랫폼입니다. 버전 4.14.17부터 4.15.0-beta5까지, 인증된 FastGPT 사용자는 `http-<피해자_툴셋_app_id>/<도구_이름>`과 같이 조작된 저장 도구 ID를 사용하여 다른 사용자의 비공개 HTTP 툴셋을 참조하는 워크플로우 노드를 저장할 수 있습니다. 일반적인 툴셋 라우트는 접근을 거부하지만, 워크플로우 저장 및 런타임 경로는 참조된 툴셋에 대해 동일한 권한 확인을 적용하지 않아 `/api/v2/chat/completions`이 저장된 참조를 해결하고 피해자가 소유한 HTTP 도구를 실행할 수 있었습니다. 이 문제는 버전 4.15.0-beta5에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.