CVE-2024-12048
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
La version v0.0.14 de SuperAGI est affectée par une faille qui permet à un utilisateur authentifié d'accéder aux données d'autres utilisateurs ou de les modifier. En modifiant les identifiants (ID) dans les requêtes API, un attaquant peut consulter, modifier ou supprimer des projets, des agents et des détails organisationnels. Cette action est facile à exécuter via un réseau et nécessite uniquement un compte utilisateur standard, sans aucune interaction supplémentaire de la part des victimes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An IDOR (Insecure Direct Object Reference) vulnerability exists in transformeroptimus/superagi version v0.0.14. The application fails to properly check authorization for multiple API endpoints, allowing attackers to view, edit, and delete other users' information without proper authorization. Affected endpoints include but are not limited to /get/project/{project_id}, /get/schedule_data/{agent_id}, /delete/{agent_id}, /get/organisation/{organisation_id}, and /get/user/{user_id}.