Към съдържанието
Търсене

CVE-2026-40351: labring FastGPT, инжекция

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

FastGPT is an AI Agent building platform. In versions prior to 4.14.9.5, the password-based login endpoint uses TypeScript type assertion without runtime validation, allowing an unauthenticated attacker to pass a MongoDB query operator object (e.g., {"$ne": ""}) as the password field. This NoSQL injection bypasses the password check, enabling login as any user including the root administrator. This issue has been fixed in version 4.14.9.5.

Засегнати продукти

  • labring FastGPT: < 4.14.9.5

Вид слабост

История

  • 17 април 2026 Публикувано

Други уязвимости в labring FastGPT

Първоизточници

CVE-2026-40351: labring FastGPT, инжекция | freedomonline.bg