secsys-fdu/cve-2025-51862Демонстрирует уязвимость IDOR в чат-API TelegAI, позволяющую несанкционированное вмешательство в разговоры, что приводит к фишингу и захвату учетных записей на основе XSS.
TelegAI, веб-приложение для создания и общения с AI-персонажами, уязвимо к небезопасной прямой ссылке на объект (IDOR) в своём компоненте чата. Злоумышленник может использовать эту IDOR для подмены разговоров других пользователей. Кроме того, возможна инъекция вредоносного контента и XSS-пейлоадов, что приводит к фишинговым атакам, подмене пользователей и угону аккаунтов через XSS.
TelegAI подвержена уязвимости небезопасной прямой ссылки на объект (IDOR), связанной с обработкой API чата. API https://ywqesktuqvgsmgraors.supabase.co/functions/v1/chat в основном полагается на поле profile_id в запросе для авторизации, что приводит к IDOR или уязвимости нарушенного контроля доступа. profile_id раскрывается в каждом общем разговоре, и его легко собрать с помощью социальной инженерии. Эксплуатируя эту уязвимость, злоумышленник может произвольно подменять разговоры, которыми делятся другие пользователи, что может привести к фишинговым атакам, подмене пользователей и угону аккаунтов через XSS (XSS — это другая уязвимость (CVE-2025-51860)). Рисунок 1 демонстрирует POC этой IDOR.
При изменении profile_id общение будет осуществляться с чатом жертвы.
Эта уязвимость может затронуть любого пользователя https://telegai.com. Кредиты чата пользователя будут использованы злоумышленником.
