- Son 7 gün
- CWE-266
- CWE-284
CVE-2026-123881
OpenBMB Internet of Agents Message bileşeninde fetch_chat_record erişim denetimi zafiyeti
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, yapay zekâ ajanları arasındaki yazışma kayıtlarının yetkisiz kişilerce görülebilmesine yol açabilir ve gizlilik riski taşır. Halka açık bir istismar kodu bulunduğu için saldırıların kolayca gerçekleşebilmesi mümkündür. Bu nedenle sistemin kullanıldığı ortamlarda öncelikli olarak risk değerlendirmesi yapılmalıdır.
ÖzetTürkçe
OpenBMB Internet of Agents uygulamasında, Message Handler bileşeninin im_server/app.py dosyasındaki fetch_chat_record fonksiyonu, comm_id argümanının işlenme biçiminden kaynaklanan yetersiz erişim denetimi nedeniyle zafiyet içermektedir. Zafiyet, 9d78e88e47160eb42ee1ee8538c05e1c2c47877a commit'ine kadar olan sürümleri etkilemektedir. Saldırgan bu zafiyeti uzaktan kimlik doğrulaması olmadan istismar edebilir ve halka açık bir istismar kodu da mevcuttur. Proje, sorun bildirimi yoluyla önceden bilgilendirilmiş olmasına rağmen henüz yanıt vermemiştir.
Saldırgan ne yapabilir?
Saldırgan, comm_id değerini değiştirerek yetkisiz kişilere ait sohbet kayıtlarına erişebilir; bu da gizlilik ihlali ve kayıtların ifşa olması anlamına gelir. Zafiyetin CVSS puanı 7.3 (Yüksek) olup gizlilik, bütünlük ve erişilebilirlik üzerinde sınırlı etkiler öngörülmektedir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was found in OpenBMB Internet of Agents up to 9d78e88e47160eb42ee1ee8538c05e1c2c47877a. This issue affects the function fetch_chat_record of the file im_server/app.py of the component Message Handler. The manipulation of the argument comm_id results in improper access controls. The attack may be performed from remote. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Üretici tarafından bu zafiyet için bilinen bir düzeltilmiş sürüm veya çözüm bildirilmemiştir; proje henüz yanıt vermemiştir. Resmi bir düzeltme yayımlanana kadar güncel kaynakları takip edin. Genel öneri
- Uygulamayı internete doğrudan açık bırakmayın; im_server bileşenine erişimi yalnızca güvenilen ağlarla ve kimlik doğrulamalı bir ağ geçidi arkasında sınırlandırın. Genel öneri
- fetch_chat_record işlevinin çağrıldığı uç noktalarda, istek sahibinin ilgili comm_id ile ilişkili kayıtlara erişim yetkisi olup olmadığını doğrulayan ek bir sunucu tarafı kontrolü ekleyin. Genel öneri
- Sohbet kaydı sorgu isteklerini ve sıra dışı comm_id değerlerini içeren erişim günlüklerini izleyin ve olağandışı yoğunlukta sorgu fark ederseniz inceleyin. Genel öneri
Ek önlemler
- Kullanılmayan veya test amaçlı servis uç noktalarını kapatın ve yalnızca gerekli portları açık tutun. Genel öneri
- Hassas sohbet verilerini mümkünse şifreleyerek saklayın ve erişim yetkilerini en az ayrıcalık ilkesine göre tanımlayın. Genel öneri
- Proje geliştiricisinin yayımlayacağı güvenlik güncellemelerini düzenli olarak takip edin ve sürüm yükseltmesini hemen uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| OpenBMB Internet of Agents | 9d78e88e47160eb42ee1ee8538c05e1c2c47877a | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-123881 Üçüncü taraf
- vuldb.com/submit/1033651 Üçüncü taraf
- github.com/OpenBMB/IoA/issues/20 İstismar kodu ya da analiz
- vuldb.com/vuln/432019 Diğer
- vuldb.com/vuln/432019/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.