CVE-2025-69207 in khoj
Tóm tắt
Bởi VulDB • 31/07/2026
Khoj là một ứng dụng trí tuệ nhân tạo có thể tự lưu trữ (self-hostable). Trước phiên bản 2.0.0-beta.23, một lỗ hổng IDOR trong điểm cuối OAuth callback của Notion cho phép kẻ tấn công chiếm quyền kiểm soát tích hợp Notion của bất kỳ người dùng nào bằng cách thao túng tham số state. Điểm cuối callback chấp nhận UUID của bất kỳ người dùng nào mà không xác minh luồng OAuth có được khởi tạo bởi chính người dùng đó hay không, cho phép kẻ tấn công thay thế các cấu hình Notion của nạn nhân bằng cấu hình của chúng, dẫn đến đầu độc dữ liệu (data poisoning) và truy cập trái phép vào chỉ mục tìm kiếm Khoj của nạn nhân. Cuộc tấn công này yêu cầu biết UUID của người dùng, thông tin có thể bị rò rỉ qua các cuộc trò chuyện được chia sẻ khi có sự hiện diện của một hình ảnh do AI tạo ra. Lỗ hổng này đã được sửa trong phiên bản 2.0.0-beta.23.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.