FICHE CVE

CVE-2026-7643

Publiée le 2026-05-02 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

ChatGPTNextWeb NextChat (jusqu'à la version 2.16.1) est affecté par un défaut de configuration de son point de terminaison API. Un attaquant distant peut inciter un utilisateur connecté à visiter un site malveillant pour contourner les politiques de sécurité inter-domaines, permettant potentiellement à l'attaquant d'interagir avec l'application au nom de l'utilisateur. Bien que l'exploit soit public, sa réussite nécessite que l'utilisateur interagisse avec un lien malveillant.

CVSS 4.02.1 FAIBLE

Type de faiblesse

Erreur de validation de l'origine · CWE-346 CWE-942

Publiée2026-05-02

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw has been found in ChatGPTNextWeb NextChat up to 2.16.1. This impacts an unknown function of the file Next.js of the component API Endpoint. Executing a manipulation can lead to permissive cross-domain policy with untrusted domains. The attack may be launched remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.