CVE-2026-22252
KrytyczneStreszczenie
LibreChat przed wersją v0.8.2-rc2 ma podatność w transporcie MCP stdio, który akceptuje dowolne polecenia bez walidacji. Pozwala to każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń powłoki jako root wewnątrz kontenera przez pojedyncze żądanie API. Luka została naprawiona w wersji v0.8.2-rc2.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać pełną kontrolę nad kontenerem, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację LibreChat do wersji v0.8.2-rc2 lub nowszej, która zawiera poprawkę.
Inne podatności w LibreChat
Zobacz wszystkie- CVE-2025-69220Wysokie
LibreChat w wersji 0.8.1-rc2 nie egzekwuje odpowiedniej kontroli dostępu dla przesyłania plików do kontekstu plików agentów i wyszukiwania plików. Uwierzytelniony atakujący ze znajomością ID agenta może zmienić zachowanie dowolnych agentów, przesyłając nowe pliki, nawet bez uprawnień do danego agenta. Problem naprawiono w wersji 0.8.2-rc2.
- CVE-2026-32625Krytyczne
LibreChat w wersjach do 0.8.3 włącznie zawiera podatność w integracji z serwerem Model Context Protocol (MCP), która podczas walidacji schematu Zod dla adresów URL MCP dostarczonych przez użytkownika rozwijane są zmienne środowiskowe ${VAR}. Uwierzytelniony użytkownik może utworzyć złośliwą konfigurację MCP, która spowoduje wysłanie tajnych kluczy (CREDS_KEY, CREDS_IV, JWT_SECRET, MONGO_URI) do atakującego serwera.
- CVE-2025-69222Krytyczne
LibreChat w wersji 0.8.1-rc2 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu braku ograniczeń w funkcji Actions w domyślnej konfiguracji. Agenci mogą uzyskiwać dostęp do wewnętrznych usług, takich jak RAG API w domyślnym Docker Compose.
- CVE-2026-54040Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala atakującemu z przechwyconym tokenem sesji na wygenerowanie nowych kodów zapasowych 2FA bez weryfikacji TOTP lub istniejącego kodu. Umożliwia to ominięcie uwierzytelniania dwuskładnikowego lub całkowite jego wyłączenie.
- CVE-2026-54037Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na ominięcie ograniczników szybkości dodanych dla endpointu /fork poprzez użycie endpointu /duplicate, który wykonuje te same kosztowne operacje bazodanowe, ale nie posiada żadnego ogranicznika. Może to prowadzić do wyczerpania zasobów serwera.
- CVE-2026-54033Wysokie
LibreChat przed wersją 0.8.4-rc1 umożliwia uwierzytelnionym użytkownikom ustawienie własnego adresu URL dla API kompatybilnego z OpenAI. Ten adres URL jest używany do konstruowania żądań HTTP bez żadnej walidacji SSRF, co pozwala na kierowanie ruchu do wewnętrznych adresów sieciowych.
- CVE-2026-54030Wysokie
Podatność w LibreChat przed wersją 0.8.5 pozwala złośliwemu serwerowi MCP na kradzież tokenów dostępu przeznaczonych dla legalnego serwera. Implementacja OAuth MCP nie weryfikuje, czy parametr zasobu z metadanych chronionego zasobu OAuth (RFC 9728) jest zgodny ze skonfigurowanym adresem URL serwera MCP.
- CVE-2026-54029Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na usunięcie dowolnej wiadomości innego użytkownika. Brakuje ograniczenia właściciela wiadomości w funkcji usuwania, co umożliwia atak poprzez podanie własnego identyfikatora konwersacji i docelowego identyfikatora wiadomości ofiary.
- CVE-2026-54025Średnie
LibreChat przed wersją 0.8.4-rc1 zawiera podatność polegającą na braku eskejpingu podwójnych cudzysłowów w tekście alternatywnym obrazów w znacznikach Markdown. Atakujący może wstrzyknąć złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-54024Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na przesyłanie dowolnie dużych plików przez endpoint importu konwersacji, co może prowadzić do wyczerpania miejsca na dysku i pamięci serwera. Problem wynika z braku ograniczeń rozmiaru pliku w osobnej instancji multer dla tego endpointu oraz domyślnie wyłączonej kontroli rozmiaru na poziomie aplikacji.
Oryginalny opis (angielski, źródło NVD)
LibreChat is a ChatGPT clone with additional features. Prior to v0.8.2-rc2, LibreChat's MCP stdio transport accepts arbitrary commands without validation, allowing any authenticated user to execute shell commands as root inside the container through a single API request. This vulnerability is fixed in v0.8.2-rc2.