secsys-fdu/cve-2025-51868يُظهر ثغرة الإحالة المباشرة غير الآمنة للكائنات (IDOR) في مكوّن الدردشة الخاص بـ Dippy، مما يسمح للمهاجمين بالوصول إلى سجلات محادثات المستخدمين الآخرين والتلاعب بها عن طريق تخمين معرّفات المحادثات المتوقعة عبر القوة الغاشمة.
Dippy هو موقع شهير للدردشة مع ملايين شخصيات الذكاء الاصطناعي الاستباقية. يتيح Dippy للمستخدمين الدردشة مع شخصيات مبنية على LLM، وهو معرّض لثغرة الإحالة المباشرة غير الآمنة إلى الكائنات (IDOR) في مكوّن الدردشة الخاص به. يمكن للمهاجم استغلال ثغرة IDOR هذه للتلاعب بمحادثات المستخدمين الآخرين.
يتم تخزين سجلات المحادثات لجميع المستخدمين على الخادم. ومع ذلك، لا يميّز خادم Dippy ملكية أو حالة المشاركة لسجلات المحادثات الفردية. وبالتالي، يمكن للمهاجم الوصول إلى سجلات محادثات المستخدمين الآخرين عبر تخمين (brute-force) معرّفات المحادثات.
يكون تنسيق معرّف المحادثة قابلاً للتنبؤ وعرضة لهجمات brute-force. ويتكوّن من سلسلة من 8 أحرف، وتتكوّن هذه السلسلة من أرقام (مثل: 12345678). وعندما يرسل المهاجم طلبًا إلى هذا الرابط مع استخدام تفويض المهاجم (Authorization) وبطريقة GET، يمكنه بعد ذلك الاطلاع على سجل المحادثة في POC.
يمكن أن تؤثر هذه الثغرة على أي مستخدم لموقع https://chat.dippy.ai. سيتم التعديل على سجل محادثات المستخدم بشكل ضار باستخدام conversation_id المسرَّب.
