CVE-2026-22664
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
prompts.chat przed commit 30a8f04 zawiera podatność server-side request forgery (SSRF) w funkcji monitorowania statusu multimediów Fal.ai. Uwierzytelnieni użytkownicy mogą wykonywać dowolne żądania wychodzące, podając kontrolowane przez atakującego adresy URL w parametrze token, co prowadzi do ujawnienia FAL_API_KEY w nagłówku Authorization.
Ocena ryzyka
Atakujący może wykraść klucz API Fal.ai, przeprowadzić skanowanie wewnętrznej sieci oraz nadużyć konta ofiary na Fal.ai, co może skutkować kradzieżą danych i nieautoryzowanymi operacjami.
Rekomendacja
Należy zaktualizować prompts.chat do wersji zawierającej commit 30a8f04 lub nowszej.
Inne podatności w prompts.chat
Zobacz wszystkie- CVE-2026-22665Wysokie
prompts.chat przed commit 1464475 zawiera podatność na pomylenie tożsamości z powodu niespójnego traktowania nazw użytkowników w przypadku wielkości liter w ścieżkach zapisu i odczytu. Atakujący mogą tworzyć warianty nazw użytkowników różniące się wielkością liter, które omijają sprawdzanie unikalności. Atakujący mogą wykorzystać niedeterministyczne rozwiązywanie nazw użytkowników do podszywania się pod konta ofiar, zastępowania treści profilu na kanonicznych URL-ach oraz wstrzykiwania metadanych i treści kontrolowanych przez atakującego na platformie.
- CVE-2026-22663Wysokie
W prompts.chat przed commit 7b81836 brakuje kontroli isPrivate w wielu endpointach API i generowaniu metadanych stron, co pozwala nieautoryzowanym użytkownikom na dostęp do poufnych danych prywatnych promptów, w tym historii wersji, próśb o zmiany, przykładów, bieżącej treści oraz metadanych (tytuły, opisy).
- CVE-2026-22662Średnie
prompts.chat przed commit 1464475 zawiera podatność na ślepe SSRF w generatorze multimediów Wiro. Uwierzytelnieni użytkownicy mogą wysyłać żądania POST do /api/media-generate z kontrolowanym parametrem inputImageUrl, co pozwala na skanowanie sieci wewnętrznych, dostęp do wewnętrznych usług i eksfiltrację danych przez usługę Wiro.
- CVE-2026-22661Wysokie
prompts.chat przed commit 0f8d4c3 zawiera podatność path traversal w obsłudze plików umiejętności (skill files). Atakujący mogą zapisywać dowolne pliki w systemie klienta poprzez tworzenie złośliwych archiwów ZIP z niesanitowanymi nazwami plików zawierającymi sekwencje path traversal (../).
Oryginalny opis (angielski, źródło NVD)
prompts.chat prior to commit 30a8f04 contains a server-side request forgery vulnerability in the Fal.ai media status polling feature that allows authenticated users to perform arbitrary outbound requests by supplying attacker-controlled URLs in the token parameter. Attackers can exploit the lack of URL validation to disclose the FAL_API_KEY in the Authorization header, enabling credential theft, internal network probing, and abuse of the victim's Fal.ai account.