secsys-fdu/cve-2025-51862Exploit proof-of-concept per CVE-2025-51862: Riferimento diretto a oggetti non sicuro (IDOR) nell'API chat di TelegAI che consente manomissione delle conversazioni, iniezione XSS e dirottamento dell'account.
TelegAI, un'applicazione web per costruire e chattare con Personaggi AI, è vulnerabile a un Insecure Direct Object Reference (IDOR) nel suo componente di chat. Un attaccante può sfruttare questo IDOR per manomettere le conversazioni di altri utenti. Inoltre, è possibile iniettare contenuti malevoli e payload XSS, portando ad attacchi di phishing, spoofing dell'utente e hijack dell'account tramite XSS.
TelegAI è suscettibile a una vulnerabilità Insecure Direct Object Reference (IDOR) riguardante la gestione dell'API di chat. L'API https://ywqesktuqvgsmgraors.supabase.co/functions/v1/chat si basa principalmente sul campo profile_id nella richiesta per l'autorizzazione, portando a una vulnerabilità IDOR o di controllo degli accessi non corretto. Il profile_id è divulgato in ogni conversazione condivisa, che può essere facilmente raccolto con ingegneria sociale. Sfruttando questa vulnerabilità, un attaccante può manomettere arbitrariamente le conversazioni condivise da altri utenti, il che può portare ad attacchi di phishing, spoofing dell'utente e hijack dell'account tramite XSS (XSS è un'altra vulnerabilità (CVE-2025-51860)). La Figura 1 mostra il POC di questo IDOR.
Quando si cambia profile_id, la comunicazione verrà completata con la chat della vittima.
Questa vulnerabilità può avere un impatto su qualsiasi utente di https://telegai.com. Il credito chat dell'utente verrà abusato.
