CVE-2025-51862

취약점 설명

TelegAI는 AI 캐릭터를 구축하고 채팅할 수 있는 웹 애플리케이션으로, 채팅 구성 요소에 IDOR(Insecure Direct Object Reference, 안전하지 않은 직접 객체 참조) 취약점이 존재합니다. 공격자는 이 IDOR을 악용하여 다른 사용자의 대화를 변조할 수 있습니다. 또한 악성 콘텐츠와 XSS 페이로드를 주입할 수 있어, 피싱 공격, 사용자 사칭 및 XSS를 통한 계정 탈취로 이어질 수 있습니다.

공격 벡터

TelegAI는 대화 API가 처리되는 방식과 관련하여 안전하지 않은 직접 객체 참조(IDOR) 취약점에 노출되어 있습니다. https://ywqesktuqvgsmgraors.supabase.co/functions/v1/chat API는 주로 요청의 profile_id 필드를 인증에 의존하므로 IDOR 또는 손상된 접근 제어 취약점이 발생합니다. profile_id는 각 공유 대화에서 노출되며, 사회공학적 기법으로 쉽게 수집할 수 있습니다. 공격자는 이 취약점을 악용하여 다른 사용자가 공유한 대화를 임의로 변조할 수 있으며, 이는 XSS를 통한 피싱 공격, 사용자 사칭 및 계정 탈취로 이어질 수 있습니다(XSS는 또 다른 취약점(CVE-2025-51860)입니다). 그림 1은 이 IDOR의 POC를 보여줍니다.

profile_id를 변경하면 통신이 피해자의 채팅으로 완료됩니다.

취약점 영향

이 취약점은 https://telegai.com의 모든 사용자에게 영향을 미칠 수 있습니다. 사용자의 채팅 크레딧이 악용될 수 있습니다.