Apa yang terjadi
Terverifikasi melalui NVD REST API (diterbitkan 2026-10-14, CVSS 5.9 v3.1 / 6.0 v4.0). Manajer chat AiBot2 tidak pernah memvalidasi bahwa chat tersebut milik penelepon.
Mengapa penting
Transkrip AI chat/asisten semakin sering berisi data bisnis sensitif; IDOR chat-ID lintas-pengguna di asisten AI CRM membocorkan konten percakapan ke pengguna terautentikasi mana pun dan memungkinkan mereka menghancurkan atau menginterupsi sesi.
Vektor serangan
IDOR terautentikasi (CWE-639): chat-init/chat-delete/chat-feedback/chat-stream-stop menerima chatid arbitrer tanpa pemeriksaan kepemilikan, mengekspos riwayat chat AI lintas pengguna.
Sistem yang terdampak
getrebuild/rebuild melalui 4.5.0
Mitigasi
Tambahkan pemeriksaan kepemilikan pada semua endpoint chat /aibot2 (rilis perbaikan tertunda); batasi akses ke modul asisten AI sementara itu.