何が起きたか
CWE-863の認可バイパス。AI従業員のアクセス制御は呼び出し元のロールに基づいていますが、呼び出し元が指定するユーザー名オーバーライドを受け入れるため、低権限ユーザーが特権AIサブエージェントを操作し、そのシステムプロンプトやツール設定を読み取ることができます。CVSS 7.1。
なぜ重要か
AIノーコードプラットフォームでは、「AI従業員」は独自のツール権限を持つエージェントです。割り当てチェックをバイパスすることで、ユーザーは自身のロールを超える能力を持つエージェントを実行し、それらのエージェントを定義するプロンプト/設定を読むことができます。
攻撃経路
getAccessibleAIEmployee() は、認証済みユーザーがロール由来のフィルターを指定されたユーザー名でオーバーライドできるようにし、その後dispatch-sub-agent-taskを使用して、付与されていないAI従業員（およびそのツール/権限）を実行し、get-ai-employeeでそれらのプロンプトとツール設定を読むことができます。
影響を受けるシステム
@nocobase/plugin-ai 2.1.0から2.2.41
緩和策
plugin-ai 2.2.41より先にアップグレードするか、NocoBaseの修正を適用してください（コミットae5a05954e20608de510c33847089269cb37411a、PR #11009）。