Apa yang terjadi
CVE-2026-111706 (CVSS 7.5, CWE-306) diverifikasi melalui NVD REST API (dipublikasikan 2026-10-16 oleh VulnCheck): rute exportExcel log obrolan tidak memiliki autentikasi apa pun, sehingga penyerang jarak jauh mana pun dapat mengunduh riwayat percakapan lengkap semua pengguna platform tanpa kredensial.
Mengapa penting
Untuk produk obrolan AI, log obrolan adalah aset paling berharga — prompt setiap pengguna dan respons model (sering berisi konten kepemilikan atau pribadi yang ditempelkan ke LLM). Ekspor massal tanpa autentikasi mengubahnya menjadi aliran data sensitif yang dieksfiltrasi dan mudah diotomatisasi.
Vektor serangan
POST tanpa autentikasi ke /api/chatLog/exportExcel dengan parameter page/size/email yang dikontrol mengunduh semua log obrolan pengguna termasuk prompt yang dikirim pengguna ke LLM dan jawaban AI.
Sistem yang terdampak
99AI ≤ 4.3.0 (vastxie/99AI)
Mitigasi
Tingkatkan versi melewati 4.3.0; batasi akses ke rute ekspor log obrolan sampai saat itu. Lihat advisory VulnCheck dan referensi controller chatLog.