🔎 AI позволяет красть данные!

🪧 Уязвимости в фреймворке Chainlit AI позволяют осуществлять кражу данных посредством чтения файлов и уязвимости SSRF.

🔁 В популярной платформе искусственного интеллекта с открытым исходным кодом Chainlit были обнаружены уязвимости безопасности , которые могут позволить злоумышленникам красть конфиденциальные данные, что, в свою очередь, может обеспечить горизонтальное перемещение внутри уязвимой организации.

🎇 Компания Zafran Security заявила, что эти серьезные уязвимости, получившие общее название ChainLeak , могут быть использованы для утечки ключей API облачных сред и кражи конфиденциальных файлов, а также для проведения атак с подделкой запросов на стороне сервера (SSRF) против серверов, на которых размещены приложения искусственного интеллекта.

⏺️ Подробности об этих двух уязвимостях следующие:

➡️ CVE-2026-22218 (CVSS: 7.1) — уязвимость произвольного чтения файлов в процессе обновления "/project/element", позволяющая авторизованному злоумышленнику получить доступ к содержимому любого файла, доступного для чтения службой, в свою собственную сессию из-за отсутствия проверки полей контроллера пользователя.

➡️ CVE-2026-22219 (CVSS: 8.3) — уязвимость SSRF в потоке обновления "/project/element" при настройке с использованием бэкэнда уровня данных SQLAlchemy, которая позволяет злоумышленнику выполнять произвольные HTTP-запросы к внутренним сетевым службам или конечным точкам облачных метаданных с сервера Chainlit и сохранять полученные ответы.

❗️ Будьте внимательны!

#ai #ssrf #cve #chainleak

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером