Apa yang terjadi
Dua CVE terverifikasi VulnCheck diterbitkan 2026-10-13 (CVE-2026-110207 CVSS 8.8 CWE-862 autentikasi hilang pada API admin pengguna/peran/departemen/agen; CVE-2026-110208 CVSS 7.1 CWE-862 pembacaan kunci penyedia AI teks jelas + eksfiltrasi melalui ai/test). Pengguna terautentikasi mana pun mencapai pengambilalihan akun administrator penuh dan memegang kredensial API LLM organisasi. Diverifikasi melalui NVD REST API.
Mengapa penting
AI CRM menyimpan data bisnis dan kunci API penyedia AI langsung yang ditagihkan ke organisasi. Rantai autentikasi yang hilang mengubah login dengan hak istimewa terendah menjadi pengambilalihan admin ditambah pencurian langsung kredensial penyedia AI — persis bahan kunci dari target kampanye rantai pasokan AI yang sedang berlangsung.
Vektor serangan
POST /managerUser/updateUser untuk mengatur ulang kata sandi akun admin dan menetapkan peran 'all' pada diri sendiri (tanpa pemeriksaan admin); GET /systemConfig/byType/ai membocorkan kunci API penyedia AI teks jelas, dan /systemConfig/ai/test dapat meneruskan kunci yang disimpan ke apiUrl yang dipilih penyerang. Tidak ada pemeriksaan authz yang memisahkan kedua primitif tersebut.
Sistem yang terdampak
WuKongOpenSource Wukong AICRM hingga 20260610
Mitigasi
Tidak ada rilis resmi dalam jendela tersebut; lihat advisori VulnCheck dan dua CVE terpisah (CVE-2026-110207 autentikasi hilang API admin; CVE-2026-110208 pengungkapan kunci AI). Batasi paparan jaringan, terapkan pemeriksaan peran, rotasi semua kunci penyedia AI.