何が起きたか
NVD REST APIで検証済み（公開日2026-10-14、CVSS 5.9 v3.1 / 6.0 v4.0）。AiBot2チャットマネージャーはチャットが呼び出し元に属することを検証しません。
なぜ重要か
AIチャット/アシスタントのトランスクリプトにはますます機密性の高いビジネスデータが含まれています。CRMのAIアシスタントにおけるクロスユーザーのチャットID IDORは、会話コンテンツを任意の認証済みユーザーに漏洩させ、セッションの破壊や中断を可能にします。
攻撃経路
認証済みIDOR（CWE-639）：chat-init/chat-delete/chat-feedback/chat-stream-stopが所有権チェックなしで任意のchatidを受け入れ、AIチャット履歴をユーザー間で公開します。
影響を受けるシステム
getrebuild/rebuild 4.5.0まで
緩和策
すべての/aibot2チャットエンドポイントに所有権チェックを追加（修正リリース保留中）。その間はAIアシスタントモジュールへのアクセスを制限。