CVE-2026-110208
WysokieCVSS 7.1Streszczenie
Wukong AICRM do wersji 20260610 zawiera podatność na brak autoryzacji w kontrolerze /systemConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt przechowywanego klucza API dostawcy AI. Atakujący mogą zażądać GET /systemConfig/byType/ai, aby uzyskać klucz w postaci jawnego tekstu, lub wysłać wybrany apiUrl do /systemConfig/ai/test, przekazując przechowywany klucz na swój host.
Ocena ryzyka
Ryzyko obejmuje wyciek wrażliwych kluczy API, co może prowadzić do nieautoryzowanego użycia usług AI i naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Wukong AICRM do wersji z poprawką oraz ograniczenie dostępu do endpointów /systemConfig tylko dla uprawnionych administratorów.
Inne podatności w Wukong AICRM
Zobacz wszystkie- CVE-2026-110207Wysokie
Wukong AICRM do wersji 20260610 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie API administracyjnych użytkowników, ról, departamentów i agentów, ponieważ nie ma sprawdzenia administratora. Atakujący mogą wysyłać żądania POST do /managerUser/updateUser, aby zresetować hasło konta administratora i przypisać sobie rolę "all", osiągając pełne przejęcie konta administratora.
- CVE-2026-108689Średnie
Podatność braku autoryzacji w Wukong AICRM do wersji 20260610 pozwala uwierzytelnionym użytkownikom na zapisywanie wiadomości do sesji czatu AI innych użytkowników poprzez podanie dowolnego identyfikatora sesji w żądaniu POST /chat/send. Atakujący mogą dodawać wiadomości do rozmowy ofiary i otrzymywać strumieniowe odpowiedzi asystenta zbudowane z ostatnich 20 wiadomości ofiary, ujawniając treść rozmowy.
Oryginalny opis (angielski, źródło NVD)
Wukong AICRM through 20260610 contains a missing authorization vulnerability in the /systemConfig controller that allows any authenticated user to read the stored AI provider API key. Attackers can request GET /systemConfig/byType/ai for the cleartext key, or send a chosen apiUrl to /systemConfig/ai/test, forwarding the stored key to their host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS