Vulnerabilidad en Khoj (CVE-2025-69207)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

02/02/2026

Última modificación:

03/02/2026

Descripción

Khoj es una aplicación de inteligencia artificial autoalojable. Antes de la 2.0.0-beta.23, una IDOR en la devolución de llamada de OAuth de Notion permite a un atacante secuestrar la integración de Notion de cualquier usuario manipulando el parámetro state. El endpoint de devolución de llamada acepta cualquier UUID de usuario sin verificar que el flujo de OAuth fue iniciado por ese usuario, permitiendo a los atacantes reemplazar las configuraciones de Notion de las víctimas con las suyas propias, lo que resulta en envenenamiento de datos y acceso no autorizado al índice de búsqueda de Khoj de la víctima. Este ataque requiere conocer el UUID del usuario, que puede filtrarse a través de conversaciones compartidas donde una imagen generada por IA está presente. Esta vulnerabilidad está corregida en la 2.0.0-beta.23.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

5.40

Gravedad 3.x

MEDIA

Vulnerabilidad en Khoj (CVE-2025-69207)

Descripción

Impacto

Referencias a soluciones, herramientas e información