事件经过
已通过NVD REST API验证（发布于2026-10-14，CVSS 5.9 v3.1 / 6.0 v4.0）。AiBot2聊天管理器从不验证聊天是否属于调用者。
影响分析
AI聊天/助手记录日益包含敏感业务数据；CRM AI助手中的跨用户聊天ID IDOR可将对话内容泄露给任何认证用户，并允许其销毁或中断会话。
攻击途径
认证IDOR（CWE-639）：chat-init/chat-delete/chat-feedback/chat-stream-stop接受任意chatid且无所有权检查，跨用户暴露AI聊天记录。
受影响系统
getrebuild/rebuild 至 4.5.0
缓解措施
在所有/aibot2聊天端点添加所有权检查（修复版本待发布）；同时限制对AI助手模块的访问。