CVE-2025-32424

AutoGPT, platforma do automatyzacji procesów, ma podatność XSS w wersjach przed 0.6.62 na stronie rejestracji. Aplikacja niewłaściwie ufa parametrowi URL (`next`), co pozwala atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary.

AutoGPT przed wersją 0.6.63 ma problem z zarządzaniem przestrzenią dyskową, ponieważ `MediaDurationBlock` pobiera i przechowuje wideo w katalogu tymczasowym bez usuwania go po zakończeniu przetwarzania. `StepThroughItemsBlock` pozwala na wielokrotne iterowanie `MediaDurationBlock`, co może prowadzić do wyczerpania przestrzeni dyskowej.

AutoGPT przed wersją 0.6.63 ma problem z zarządzaniem przestrzenią dyskową, ponieważ nie usuwa plików wideo i audio z katalogu tymczasowego. Dodatkowo, blok `StepThroughItemsBlock` nie ogranicza liczby iteracji, co może prowadzić do wyczerpania dostępnej przestrzeni dyskowej.

AutoGPT przed wersją 0.6.70 zawiera podatność w trasie webhook_ingress_generic, która nie weryfikuje dostawcy webhooka, co pozwala na ominięcie weryfikacji podpisu i wykonanie generycznego webhooka jako właściciel.

W AutoGPT przed wersją 0.6.32 występuje podatność DoS w bloku ExtractTextInformationBlock. Złośliwy użytkownik może wysłać 10 KB treści, co powoduje zużycie 50 GB pamięci serwera, prowadząc do wyczerpania zasobów i odmowy usługi.

W AutoGPT przed wersją 0.6.59 endpoint POST /api/blocks/{block_id}/execute umożliwia wykonywanie bloków bez sprawdzania salda kredytów użytkownika. Mechanizm kontroli kredytów istniejący w ścieżce wykonywania grafów (manager.py) nie jest wywoływany przy bezpośrednim wywołaniu bloków przez zewnętrzne API, co pozwala na nieograniczone darmowe wykonywanie wszystkich bloków.

W AutoGPT (wersje 0.1.0 do 0.6.51) blok SendEmailBlock akceptuje od użytkownika parametry smtp_server i smtp_port i przekazuje je bezpośrednio do smtplib.SMTP() bez walidacji adresu IP, omijając zabezpieczenia SSRF. Uwierzytelniony użytkownik może przeprowadzić skanowanie portów wewnętrznych i fingerprinting usług.

AutoGPT w wersjach 0.6.34 do 0.6.51 deserializuje dane z Redis za pomocą pickle.loads bez weryfikacji integralności. Atakujący, który może zatruć klucz w Redis, może uzyskać zdalne wykonanie kodu w kontenerze backendu.

AutoGPT w wersjach 0.4.2 do 0.6.51 jest podatny na atak DoS przez endpoint download_agent_file, który tworzy trwałe pliki tymczasowe dla każdego żądania, ale nie usuwa ich po obsłużeniu. Nieuwierzytelniony atakujący może wielokrotnie wywoływać ten endpoint, wyczerpując miejsce na dysku i powodując awarię systemu.

AutoGPT w wersjach 0.6.36 do 0.6.50 jest podatny na przejęcie sesji uwierzytelnionego użytkownika poprzez IDOR. Atakujący może przejąć sesję innego użytkownika, znając jego session_id.