CVE-2025-51859

脆弱性の説明

Chaindesk は、AIエージェントを構築するためのWebアプリケーションであり、そのエージェントチャットコンポーネントに保存型クロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者は、システムプロンプトで基盤となる大規模言語モデル（LLM）に悪意のあるスクリプトペイロード（例：SVGベースのXSS）をチャット応答に埋め込むよう指示するように細工されたAIエージェントを作成することで、任意のクライアント側スクリプトの実行を達成できます。ユーザーがこのような悪意のあるエージェントと対話するか、XSSペイロードを含む会話への直接リンクにアクセスすると、スクリプトがユーザーのブラウザで実行されます。悪用に成功すると、JWTセッショントークンなどの機密情報の窃取につながり、アカウントの乗っ取りにつながる可能性があります。会話URL構造（https://app.chaindesk.ai/agents/<agentID>?tab=chat&conversationId=<conversationID>）の安全でない直接オブジェクト参照（IDOR）の脆弱性により、これらの悪意のある会話リンクの配布が容易になり、他のチャットセッションへの不正アクセスのリスクも生じる可能性があります。

攻撃ベクトル

Chaindeskは、AIエージェントチャット機能内の保存型クロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。この脆弱性は、https://app.chaindesk.ai/agents/<agentID>?tab=chat&conversationId=<conversationID> などのURLを介してアクセスされるユーザーインタラクションと会話表示に影響を与えます。

このXSSを悪用する主な方法は、攻撃者が細工されたシステムプロンプトを持つAIエージェントを作成することです。この悪意のあるプロンプトは、統合された大規模言語モデル（LLM）に対して、埋め込まれたSVG XSSペイロードを含む応答を生成するように指示します。その結果、被害者がこの侵害されたエージェントとチャットを行うと、ペイロードが被害者のブラウザによってレンダリングされ、クライアント側のスクリプト実行につながります。この手法は、エージェントの設定を使用してXSSペイロードを保存し配信するものです。被害者のセッションで任意のJavaScriptコードが実行されると、攻撃者は機密データ、特にJWTトークンを盗むことができ、アカウントの乗っ取りに使用される可能性があります。図1は、ユーザーが悪意のあるエージェントと通信した後のUIレンダリングを示しており、ユーザーのセッションとトークンが漏洩しています。

さらに、アプリケーションは、会話URLの処理方法に関して、安全でない直接オブジェクト参照（IDOR）の脆弱性（アクセス制御の不備としても分類可能）を示しています。エンドポイント https://app.chaindesk.ai/agents/<agentID>?tab=chat&conversationId=<conversationID> は、チャットコンテンツを表示するために主に および パラメータに依存しており、明らかに不十分なアクセス制御チェックが行われています。このIDORの脆弱性により、攻撃者は次のことが可能になります：a) XSSペイロードを含む（上記のLLMメソッドを介して配信されるか、あるいは他の方法で埋め込まれる）自分が管理する会話を指す直接URLを作成して配布する。被害者がそのようなURLにアクセスすると、XSSペイロードが実行されます。b) 有効な と の組み合わせが特定できれば、他のユーザーの会話にアクセスできる可能性があります。ただし、最初の報告によると、 の値は、既存の無関係な会話への広範な不正アクセスのために簡単に推測できるものではない可能性があります。それでも、標的となる被害者にXSSペイロードを配信するためのIDORの有用性は依然として重大な懸念事項です。図2は、IDOR脆弱性のPOCを示しています。