SSRF (Falsification de requête côté serveur) dans FastGPT (CVE-2026-44285)
Résumé
SSRF dans FastGPT (CVE-2026-44285). Des informations confidentielles peuvent être exposées. Exploitable via externalFile. Atténuation : mise à jour vers 4.15.0-beta1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
FastGPT is an AI Agent building platform. Prior to 4.15.0-beta1, a Server-Side Request Forgery (SSRF) vulnerability allows an authenticated attacker to bypass the global isInternalAddress network protection and make arbitrary HTTP GET requests to internal network services. This is achieved by exploiting an incomplete fix in the dataset preview endpoint /api/core/dataset/file/getPreviewChunks when utilizing the externalFile data import type. This vulnerability is fixed in 4.15.0-beta1.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-44285 a été découverte dans ssrf.
Des attaquants peuvent cibler un point d'entrée spécifique comme externalFile à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.7/10.
Action : mettez à jour ssrf vers 4.15.0-beta1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « ssrf CVE-2026-44285 » sur le site de l'éditeur.
CVE-2026-44285 (ssrf) — CWE-918 / CVSS v3 7.7
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : externalFile / isInternalAddress / urlsFetch / readFileRawTextByUrl
Versions affectées : <= 4.15.0-beta1
Correctif : 4.15.0-beta1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
認証された攻撃者によるSSRF脆弱性の悪用
FastGPT 4.15.0-beta1未満のバージョン
攻撃者が内部ネットワークサービスに不正アクセスできるため、重要度が高い
FastGPTをバージョン4.15.0-beta1にアップデートする
情報なし
FastGPTのバージョンを確認し、4.15.0-beta1未満であれば脆弱性の影響を受ける可能性
Références
- web github.com