CVE-2026-61644 in FastGPT
요약
\~에 의해 VulDB • 2026. 07. 15.
FastGPT는 지식 기반 AI 애플리케이션 플랫폼입니다. 버전 4.14.17부터 4.15.0-beta5까지 POST /api/core/chat/record/getCollectionQuote 엔드포인트는 호출자의 채팅 및 컬렉션 컨텍스트를 인증하지만, initialId의 센터-노드 조회가 해당 승인된 컨텍스트에 바인딩되지 않습니다. 권한이 낮은 테넌트 사용자는 유효한 공격자가 소유한 appId, chatId, chatItemDataId 및 collectionId 값을 제공하면서 다른 테넌트의 데이터셋 데이터 ID를 initialId로 지정하여 엔드포인트를 호출할 수 있으며, 이로 인해 응답에 타사 데이터셋 인용구 또는 전체 텍스트 콘텐츠가 포함됩니다. 이 문제는 버전 4.15.0-beta5에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.