事件经过
CVE-2026-111706（CVSS 7.5，CWE-306）已通过NVD REST API验证（由VulnCheck于2026-10-16发布）：exportExcel聊天日志路由缺少任何认证，因此任何远程攻击者无需凭据即可下载所有平台用户的完整对话历史。
影响分析
对于AI聊天产品，聊天日志是皇冠上的明珠——每个用户的提示词和模型回答（通常包含粘贴到LLM中的专有或个人内容）。未认证的批量导出使其成为敏感数据外泄的洪流，且极易自动化。
攻击途径
未认证的POST到/api/chatLog/exportExcel，带有受控的page/size/email参数，可下载所有用户的聊天日志，包括用户发送给LLM的提示词和AI的回答。
受影响系统
99AI ≤ 4.3.0（vastxie/99AI）
缓解措施
升级到4.3.0之后；在此之前限制对聊天日志导出路由的访问。参见VulnCheck公告和chatLog控制器参考。