CVE-2026-68929

W FastGPT do wersji z commitem 22ebfacbb43311e9b73294040ae0eb87390c6bba, artefakty zbudowane z niezaufanego kodu pull request w przepływach pracy GitHub Actions mogą być pobierane przez uprzywilejowane zadania workflow_run, co pozwala atakującemu na wypchnięcie kontrolowanych obrazów Docker do GHCR i, w przypadku podglądów dokumentacji, na wdrożenie z sekretem KUBE_CONFIG_CN.

FastGPT w wersjach od 4.14.10 do 4.14.13 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu (RCE) w komponencie agent-sandbox. Skrypt startowy entrypoint.sh inicjalizuje code-server z flagą --auth none i wiąże usługę ze wszystkimi interfejsami sieciowymi (0.0.0.0:8080), co pozwala każdemu użytkownikowi z dostępem sieciowym na ominięcie uwierzytelniania i przejęcie kontroli nad środowiskiem sandbox.

FastGPT przed wersją 4.14.9.5 udostępnia endpoint /api/core/app/httpTools/runTool bez uwierzytelnienia. Działa on jako pełne proxy HTTP, umożliwiając atakującemu wykonywanie dowolnych żądań HTTP z serwera.

FastGPT przed wersją 4.15.2 posiada lukę DNS rebinding w bezpiecznym interceptorem Axios w packages/service/common/api/axios.ts. Walidacja nazwy hosta przez isInternalAddress() odbywa się przed niezależnym zapytaniem DNS podczas połączenia HTTP, co tworzy okno czasowe. Uwierzytelniony atakujący mogący dostarczyć URL do narzędzia HTTP, węzła workflow, pobierania plików zewnętrznych lub innej integracji serwerowej może wykorzystać tę lukę do osiągnięcia usług, które bezpośrednie adresy prywatne zostałyby zablokowane.

FastGPT Community Edition w wersjach od 4.10.0 do 4.14.0 jest podatny na wstrzyknięcie NoSQL w endpointcie POST /api/core/chat/getHistories. Nieuwierzytelniony atakujący może wstrzyknąć złośliwe operatory NoSQL przez spreparowane ładunki JSON, aby ominąć kontrolę autoryzacji, co prowadzi do nieautoryzowanego dostępu do tytułów historii czatów wszystkich użytkowników.

W FastGPT od wersji 4.14.17 do 4.15.0-beta5 uwierzytelniony użytkownik może zapisać węzeł przepływu pracy odwołujący się do prywatnego zestawu narzędzi HTTP innego użytkownika, używając spreparowanego identyfikatora narzędzia. Brak odpowiedniej kontroli autoryzacji w ścieżce zapisu i wykonania przepływu pracy umożliwia wykonanie narzędzia HTTP należącego do ofiary.

FastGPT w wersji 4.15.0-beta4 posiada podatność w endpointach reverse-call pod /api/invoke/*, które uwierzytelniają jedynie przez JWT podpisany domyślnym, stałym sekretem 'token'. Niezautoryzowany atakujący może samodzielnie podpisać token HS256 i uzyskać dostęp do danych użytkowników (PII) z różnych dzierżawców lub zapisać dowolną treść do plików czatu.

FastGPT przed wersją 4.15.0-beta5 zawiera podatność SSRF polegającą na tym, że mechanizm ochrony sprawdza tylko początkowy adres URL żądania, a biblioteka axios domyślnie podąża za przekierowaniami. Uwierzytelniony użytkownik przepływu pracy może skonfigurować węzeł HTTP tak, aby wywoływał publiczny URL kontrolowany przez atakującego, który przekierowuje do metadanych chmury, pętli zwrotnej lub usług wewnętrznych, które ochrona zablokowałaby przy bezpośrednim żądaniu, a węzeł HTTP zwraca treść odpowiedzi do wywołującego przepływ.

Podatność w FastGPT umożliwia niskouprzywilejowanemu użytkownikowi dzierżawy dostęp do cytatów lub pełnotekstowej zawartości zbiorów danych innego dzierżawcy poprzez manipulację parametrem initialId w endpointcie POST /api/core/chat/record/getCollectionQuote. Problem występuje w wersjach od 4.14.17 do 4.15.0-beta5.

W FastGPT przed wersją v4.15.0-beta5 dwa moduły obsługi plików autoryzują niezwiązany zasób, a następnie podpisują lub odczytują obiekt S3 przy użyciu klucza pobranego bezpośrednio z żądania, bez sprawdzania, czy klucz należy do zespołu wywołującego. Ponieważ klucze obiektów S3 są globalne w obrębie bucketa i zawierają identyfikator dzierżawcy tylko jako segment ścieżki, atakujący może podać klucz innego zespołu i uzyskać zawartość jego plików przez endpoint presignowania plików czatu lub endpoint podglądu zbioru danych.