secsys-fdu/cve-2025-51860TelegAIの格納型XSS脆弱性の詳細な分析。攻撃ベクトル、影響、セッショントークン窃取とアカウント乗っ取りの概念実証を含みます。
TelegAIは、AIキャラクターの構築とチャットを行うWebアプリケーションであり、そのチャットコンポーネントとキャラクターコンテナコンポーネントにStored Cross-Site Scripting（XSS）の脆弱性があります。攻撃者は、説明、挨拶、例示ダイアログ、またはシステムプロンプト（LLMにXSSペイロードをチャット応答に埋め込むよう指示する）にSVG XSSペイロードを仕込んだAIキャラクターを作成することで、任意のクライアントサイドスクリプトの実行を達成できます。ユーザーがそのような悪意のあるAIキャラクターと対話したり、そのプロフィールを閲覧するだけで、スクリプトがユーザーのブラウザで実行されます。攻撃が成功すると、セッショントークンなどの機密情報が盗まれ、アカウントの乗っ取りにつながる可能性があります。
TelegAIは、AIキャラクターチャット機能内でStored Cross-Site Scripting（XSS）の脆弱性の影響を受けます。この脆弱性は、ユーザーの対話やキャラクタープロフィールの閲覧に影響を与えます。このXSS脆弱性を悪用するために、攻撃者は1) 細工されたプロフィール、または2) システムプロンプトを含むAIキャラクターを作成できます。1) 攻撃者は、キャラクタープロフィール（説明、挨拶、例示ダイアログ）にSVG XSSペイロードを埋め込むことができます。被害者がプロフィールを閲覧すると、攻撃が発生します。2) 攻撃者はまた、LLMにXSSペイロードをチャット応答に埋め込むよう指示する悪意のあるシステムプロンプトを作成できます。その結果、被害者がこの侵害されたキャラクターとチャットを行うと、ペイロードが被害者のブラウザでレンダリングされ、クライアントサイドスクリプトの実行につながります。この手法は、キャラクターの設定を使用してXSSペイロードを保存および配信します。被害者のセッションで任意のJavaScriptコードが実行されることで、攻撃者は機密データ、特にセッショントークンを盗み出し、それをアカウント乗っ取りに使用できます。図1に、悪意のあるAIキャラクターのStored XSSのPOCを示します。
この脆弱性は、https://telegai.comのすべてのユーザーに影響を与える可能性があります。公開された悪意のあるエージェントと通信する際、ユーザーのクッキー（セッションとトークンを含む）が盗まれます。
