iFlytek astron-agent through 1.1.1 contains an authorization…(CVE-2026-82475・CVSS 8.1)

概要

iFlytek astron-agent through 1.1.1 contains an authorization bypass vulnerability in the copyFlow...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

iFlytek astron-agent through 1.1.1 contains an authorization bypass vulnerability in the copyFlow endpoint that fails to validate workflow ownership. Authenticated attackers can enumerate workflow identifiers and overwrite other tenants' workflows or copy private workflows to read their definitions.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

iFlytek astron-agent バージョン1.1.1までに、コピーするフローの所有権を適切に検証しない認可バイパスの脆弱性があります。このため、認証された攻撃者が他のテナントのワークフローを上書きしたり、プライベートワークフローをコピーしてその定義を読むことが可能です。

❓ 何が問題か

認可バイパス脆弱性です。

📍 影響範囲

iFlytek astron-agent の copyFlow エンドポイントに存在します。

🔥 重要度

認証された攻撃者により、他のテナントのワークフローを上書きされたり、プライベートワークフローのコピーと定義の読み取りが可能になります。CVSSスコアは8.1です。

🔧 修正方法

ワークフローの所有権を確実に検証するようにコードを修正してください。

🛡️ 暫定回避

情報なし

🔍 検知方法

ワークフロー所有権のチェックコードを確認し、不備がないかを確認してください。