secsys-fdu/cve-2025-51862Demonstriert eine IDOR-Schwachstelle in der Chat-API von TelegAI, die unbefugtes Manipulieren von Konversationen ermöglicht, was zu Phishing und XSS-basiertem Account-Hijacking führt.
TelegAI, eine Webanwendung zum Erstellen und Chatten mit KI-Charakteren, ist anfällig für Insecure Direct Object Reference (IDOR) in ihrer Chat-Komponente. Ein Angreifer kann diese IDOR ausnutzen, um Unterhaltungen anderer Benutzer zu manipulieren. Zusätzlich können schädliche Inhalte und XSS-Payloads injiziert werden, was zu Phishing-Angriffen, Benutzer-Spoofing und Account-Hijacking über XSS führen kann.
TelegAI ist anfällig für eine Insecure Direct Object Reference (IDOR)-Schwachstelle in Bezug auf die Handhabung der Konversations-API. Die API https://ywqesktuqvgsmgraors.supabase.co/functions/v1/chat stützt sich bei der Autorisierung hauptsächlich auf das Feld profile_id in der Anfrage, was zu einer IDOR- oder fehlerhaften Zugriffskontrollschwachstelle führt. Die profile_id wird in jeder geteilten Konversation offengelegt und kann leicht durch Social Engineering gesammelt werden. Durch Ausnutzung dieser Schwachstelle kann ein Angreifer willkürlich von anderen Benutzern geteilte Konversationen manipulieren, was zu Phishing-Angriffen, Benutzer-Spoofing und Account-Hijacking über XSS führen kann (XSS ist eine weitere Schwachstelle (CVE-2025-51860)). Abbildung 1 zeigt den POC dieser IDOR.
Wird profile_id geändert, wird die Kommunikation mit dem Chat des Opfers durchgeführt.
Diese Schwachstelle kann jeden Benutzer von https://telegai.com betreffen. Das Chat-Guthaben des Benutzers wird missbraucht.
