CVE-2026-44285
WysokieCVSS 7.7Streszczenie
FastGPT to platforma do budowania agentów AI. Przed wersją 4.15.0-beta1 występowała podatność typu Server-Side Request Forgery (SSRF), która pozwalała uwierzytelnionemu atakującemu na ominięcie globalnej ochrony isInternalAddress i wykonywanie dowolnych żądań HTTP GET do wewnętrznych usług sieciowych.
Ocena ryzyka
Atakujący mógł uzyskać dostęp do wrażliwych usług wewnętrznych, co może prowadzić do ujawnienia danych lub dalszych ataków na infrastrukturę organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 4.15.0-beta1 lub nowszej, aby usunąć tę podatność oraz zapewnić odpowiednie zabezpieczenia dla wewnętrznych usług.
Oryginalny opis (angielski, źródło NVD)
FastGPT is an AI Agent building platform. Prior to 4.15.0-beta1, a Server-Side Request Forgery (SSRF) vulnerability allows an authenticated attacker to bypass the global isInternalAddress network protection and make arbitrary HTTP GET requests to internal network services. This is achieved by exploiting an incomplete fix in the dataset preview endpoint /api/core/dataset/file/getPreviewChunks when utilizing the externalFile data import type. This vulnerability is fixed in 4.15.0-beta1.