secsys-fdu/cve-2025-51868Documentazione di CVE-2025-51868: una vulnerabilità di Insecure Direct Object Reference (IDOR) nella piattaforma di chat Dippy AI che consente l'accesso non autorizzato alle cronologie delle conversazioni degli utenti tramite ID di conversazione prevedibili.
Dippy è un popolare sito web per chattare con milioni di personaggi AI proattivi. Dippy consente agli utenti di chattare con personaggi basati su LLM, risultando vulnerabile a Insecure Direct Object Reference (IDOR) nel suo componente di chat. Un attaccante può sfruttare questo IDOR per manomettere le conversazioni di altri utenti.
Le cronologie delle conversazioni di tutti gli utenti sono memorizzate sul server. Tuttavia, il server di Dippy non distingue la proprietà o lo stato di condivisione delle singole cronologie delle conversazioni. Di conseguenza, un attaccante può accedere alle cronologie delle conversazioni di altri utenti tramite forzatura bruta degli ID delle conversazioni.
Il formato dell'ID della conversazione è prevedibile e suscettibile ad attacchi di forza bruta. Consiste in una stringa di 8 caratteri. Questa stringa è composta da cifre (ad esempio 12345678). Quando un attaccante richiede questo URL con la propria Authorization e il metodo GET, può quindi controllare la cronologia della conversazione nel POC.
Questa vulnerabilità può avere un impatto su qualsiasi utente di https://chat.dippy.ai. La cronologia chat dell'utente verrà modificata in modo dannoso tramite la fuga di conversation_id.
