CVE-2026-61644

FastGPT przed wersją 4.15.2 ma nieautoryzowany dostęp do punktów końcowych kanału WeChat (iLink) opartych wyłącznie na publicznym shareId. Atakujący bez uwierzytelnienia może przejąć kanał WeChat ofiary, podmienić dane uwierzytelniające bota i ujawnić prywatne odpowiedzi aplikacji.

W FastGPT do wersji z commitem 22ebfacbb43311e9b73294040ae0eb87390c6bba, artefakty zbudowane z niezaufanego kodu pull request w przepływach pracy GitHub Actions mogą być pobierane przez uprzywilejowane zadania workflow_run, co pozwala atakującemu na wypchnięcie kontrolowanych obrazów Docker do GHCR i, w przypadku podglądów dokumentacji, na wdrożenie z sekretem KUBE_CONFIG_CN.

FastGPT w wersjach od 4.14.10 do 4.14.13 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu (RCE) w komponencie agent-sandbox. Skrypt startowy entrypoint.sh inicjalizuje code-server z flagą --auth none i wiąże usługę ze wszystkimi interfejsami sieciowymi (0.0.0.0:8080), co pozwala każdemu użytkownikowi z dostępem sieciowym na ominięcie uwierzytelniania i przejęcie kontroli nad środowiskiem sandbox.

FastGPT przed wersją 4.14.9.5 udostępnia endpoint /api/core/app/httpTools/runTool bez uwierzytelnienia. Działa on jako pełne proxy HTTP, umożliwiając atakującemu wykonywanie dowolnych żądań HTTP z serwera.

W FastGPT od wersji 4.14.17 do 4.15.0-beta5 uwierzytelniony użytkownik może zapisać węzeł przepływu pracy odwołujący się do prywatnego zestawu narzędzi HTTP innego użytkownika, używając spreparowanego identyfikatora narzędzia. Brak odpowiedniej kontroli autoryzacji w ścieżce zapisu i wykonania przepływu pracy umożliwia wykonanie narzędzia HTTP należącego do ofiary.

FastGPT w wersji 4.15.0-beta4 posiada podatność w endpointach reverse-call pod /api/invoke/*, które uwierzytelniają jedynie przez JWT podpisany domyślnym, stałym sekretem 'token'. Niezautoryzowany atakujący może samodzielnie podpisać token HS256 i uzyskać dostęp do danych użytkowników (PII) z różnych dzierżawców lub zapisać dowolną treść do plików czatu.

FastGPT przed wersją 4.15.0-beta5 zawiera podatność SSRF polegającą na tym, że mechanizm ochrony sprawdza tylko początkowy adres URL żądania, a biblioteka axios domyślnie podąża za przekierowaniami. Uwierzytelniony użytkownik przepływu pracy może skonfigurować węzeł HTTP tak, aby wywoływał publiczny URL kontrolowany przez atakującego, który przekierowuje do metadanych chmury, pętli zwrotnej lub usług wewnętrznych, które ochrona zablokowałaby przy bezpośrednim żądaniu, a węzeł HTTP zwraca treść odpowiedzi do wywołującego przepływ.

W FastGPT przed wersją v4.15.0-beta5 dwa moduły obsługi plików autoryzują niezwiązany zasób, a następnie podpisują lub odczytują obiekt S3 przy użyciu klucza pobranego bezpośrednio z żądania, bez sprawdzania, czy klucz należy do zespołu wywołującego. Ponieważ klucze obiektów S3 są globalne w obrębie bucketa i zawierają identyfikator dzierżawcy tylko jako segment ścieżki, atakujący może podać klucz innego zespołu i uzyskać zawartość jego plików przez endpoint presignowania plików czatu lub endpoint podglądu zbioru danych.

W FastGPT przed wersją 4.15.0-beta4, importer schematów OpenAPI narzędzia HTTP waliduje tylko najwyższy poziom URL, a następnie przekazuje go do SwaggerParser.bundle, którego resolver zdalnych referencji pobiera URL-e z $ref bez ochrony przed adresami wewnętrznymi FastGPT i zwraca pobraną treść w linii, co pozwala uwierzytelnionemu członkowi zespołu na odczyt wewnętrznych usług lub metadanych chmury.

W FastGPT przed wersją 4.15.0, endpoint GET /api/core/ai/record/getRecord uwierzytelnia wywołującego, ale ładuje ślady żądań i odpowiedzi LLM tylko na podstawie requestId bez sprawdzania przynależności do zespołu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi odczytanie promptów, pobranych fragmentów RAG i odpowiedzi innego zespołu, jeśli zna requestId.