무슨 일이 있었나
NVD REST API를 통해 검증됨(2026-10-14 게시, CVSS 5.9 v3.1 / 6.0 v4.0). AiBot2 채팅 관리자는 채팅이 호출자 소유인지 검증하지 않습니다.
왜 중요한가
AI 채팅/어시스턴트 기록에는 점점 더 민감한 비즈니스 데이터가 포함됩니다. CRM AI 어시스턴트의 교차 사용자 채팅 ID IDOR는 모든 인증된 사용자에게 대화 내용을 누출하고 세션을 삭제하거나 중단시킬 수 있습니다.
공격 경로
인증된 IDOR(CWE-639): chat-init/chat-delete/chat-feedback/chat-stream-stop은 소유권 검사 없이 임의의 chatid를 수락하여 사용자 간 AI 채팅 기록을 노출합니다.
영향받는 시스템
getrebuild/rebuild 4.5.0까지
완화 방안
모든 /aibot2 채팅 엔드포인트에 소유권 검사를 추가하세요(수정 릴리스 보류 중). 그동안 AI 어시스턴트 모듈에 대한 액세스를 제한하세요.