CVE-2025-51868

CVE-2025-51868 漏洞描述 Dippy 是一个流行的网站，用于与数百万个主动式 AI 角色聊天。Dippy 允许用户与基于 LLM 的角色聊天，但其聊天组件存在不安全的直接对象引用（IDOR）漏洞。攻击者可以利用此 IDOR 篡改其他用户的对话。 攻击向量 所有用户的对话历史都存储在服务器上。然而，Dippy 的服务器并不区分各个对话历史的所有权或共享状态。因此，攻击者可以通过暴力破解对话 ID 来访问其他用户的对话历史。 对话 ID 格式可预测且易受暴力破解攻击。它由 8 个字符组成，该字符串由数字组成（例如 12345678）。当攻击者使用攻击者的 Authorizati...