SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2025-59426

ŚrednieCVSS 4.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.32%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Lobe Chat (open-source'owy framework czatu AI) przed wersją 1.130.1 ma podatność na otwarte przekierowanie w logice obsługi przekierowań OIDC. Atakujący może wstrzyknąć dowolny host, wykorzystując nagłówki X-Forwarded-Host lub Host oraz X-Forwarded-Proto, co prowadzi do przekierowania użytkowników na złośliwą domenę. Problem został naprawiony w wersji 1.130.1.

Ocena ryzyka

Ryzyko polega na możliwości przekierowania użytkowników na złośliwe strony, co może prowadzić do phishingu lub kradzieży danych uwierzytelniających.

Rekomendacja

Zaleca się aktualizację Lobe Chat do wersji 1.130.1 lub nowszej, która zawiera poprawkę.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Lobe Chat is an open-source artificial intelligence chat framework. Prior to version 1.130.1, the project's OIDC redirect handling logic constructs the host and protocol of the final redirect URL based on the X-Forwarded-Host or Host headers and the X-Forwarded-Proto value. In deployments where a reverse proxy forwards client-supplied X-Forwarded-* headers to the origin as-is, or where the origin trusts them without validation, an attacker can inject an arbitrary host and trigger an open redirect that sends users to a malicious domain. This issue has been patched in version 1.130.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS