CVE-2026-39411
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
LobeHub przed wersją 2.1.48 zawiera podatność w warstwie uwierzytelniania webapi, która ufa nagłówkowi X-lobe-chat-auth kontrolowanemu przez klienta, który jest tylko zaciemniony przez XOR, a nie podpisany lub uwierzytelniony. Ponieważ klucz XOR jest zakodowany na stałe w repozytorium, atakujący może sfałszować dowolne ładunki uwierzytelniające i ominąć uwierzytelnianie na chronionych trasach webapi, takich jak /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull i /webapi/create-image/comfyui.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do funkcji API, potencjalnie wykraść dane lub wykonać nieautoryzowane operacje na platformie.
Rekomendacja
Zaktualizuj LobeHub do wersji 2.1.48 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
LobeHub is a work-and-lifestyle space to find, build, and collaborate with agent teammates that grow with you. Prior to 2.1.48, the webapi authentication layer trusts a client-controlled X-lobe-chat-auth header that is only XOR-obfuscated, not signed or otherwise authenticated. Because the XOR key is hardcoded in the repository, an attacker can forge arbitrary auth payloads and bypass authentication on protected webapi routes. Affected routes include /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull, and /webapi/create-image/comfyui. This vulnerability is fixed in 2.1.48.