PT-2026-35655 · Bigsweetpotatostudio · Hyperchat

Brucejin · Publicado 2026-04-28 · Atualizado 2026-04-29 · CVE-2026-7223

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas BigSweetPotatoStudio HyperChat versões anteriores a 2.0.0-alpha.64

Descrição Um problema de falsificação de solicitação do lado do servidor (SSRF) existe no componente AI Proxy Middleware. A função fetch() no arquivo packages/core/src/http/aiProxyMiddleware.mts não manipula adequadamente a variável baseurl, permitindo que um invasor remoto a manipule para disparar solicitações não autorizadas a partir do servidor.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao componente AI Proxy Middleware ou evite o uso do parâmetro baseurl na função afetada.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-7223

GHSA-R2JQ-4H3X-RFJ6

Produtos afetados

Hyperchat

Referências · 12

• 🔥 https://github.com/BigSweetPotatoStudio/HyperChat/issues/142 · Exploit
• https://github.com/BigSweetPotatoStudio/HyperChat · Nota
• https://vuldb.com/vuln/359823/cti · Nota
• https://twitter.com/infoflowcloud/status/2049350860002525686 · Publicação no Twitter
• https://vuldb.com/vuln/359823 · Nota
• https://twitter.com/CVEnew/status/2049350455751557376 · Publicação no Twitter
• https://t.me/cveNotify/161197 · Publicação no Telegram
• https://twitter.com/CVEarity/status/2049127435590107357 · Publicação no Twitter
• https://vuldb.com/submit/802265 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-7223 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-r2jq-4h3x-rfj6 · Aviso do Fabricante
• https://t.me/CVEtracker/52039 · Publicação no Telegram