CVE-2025-51867

CVE-2025-51867 漏洞描述 Deepfiction AI 是一家致力于通过个性化故事叙述进行革命的人工智能娱乐公司。Deepfiction AI 提供一个网页应用，用户可以通过与 LLM 聊天来创作故事，该应用的聊天组件存在不安全的直接对象引用（IDOR）漏洞。攻击者可以利用此 IDOR，消耗其他用户的积分与 LLM 进行聊天。 攻击向量 API 端点 https://www.deepfiction.ai/api/story/create-story-part 用于启动或继续对话。测试表明，该 API 仅依赖请求体中的 treatmentid 和 userid 字段进行访问控...