CVE-2026-44654
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
LibreChat w wersjach do 0.8.3 pozwala edytorowi współdzielonego agenta na usunięcie rekordów plików przez DELETE /api/files, które właściciel wykorzystał w wielu agentach. Usunięcie pliku jest globalne, co powoduje uszkodzenie innych prywatnych agentów właściciela, którzy odwołują się do tego samego identyfikatora pliku. Problem został naprawiony w wersji 0.8.4.
Ocena ryzyka
Ryzyko polega na naruszeniu integralności danych między agentami – edytor z dostępem do jednego agenta może zniszczyć pliki używane w innych agentach, do których nie ma dostępu.
Rekomendacja
Zaleca się aktualizację LibreChat do wersji 0.8.4 lub nowszej, która zawiera poprawkę.
Inne podatności w LibreChat
Zobacz wszystkie- CVE-2025-69220Wysokie
LibreChat w wersji 0.8.1-rc2 nie egzekwuje odpowiedniej kontroli dostępu dla przesyłania plików do kontekstu plików agentów i wyszukiwania plików. Uwierzytelniony atakujący ze znajomością ID agenta może zmienić zachowanie dowolnych agentów, przesyłając nowe pliki, nawet bez uprawnień do danego agenta. Problem naprawiono w wersji 0.8.2-rc2.
- CVE-2026-32625Krytyczne
LibreChat w wersjach do 0.8.3 włącznie zawiera podatność w integracji z serwerem Model Context Protocol (MCP), która podczas walidacji schematu Zod dla adresów URL MCP dostarczonych przez użytkownika rozwijane są zmienne środowiskowe ${VAR}. Uwierzytelniony użytkownik może utworzyć złośliwą konfigurację MCP, która spowoduje wysłanie tajnych kluczy (CREDS_KEY, CREDS_IV, JWT_SECRET, MONGO_URI) do atakującego serwera.
- CVE-2026-22252Krytyczne
LibreChat przed wersją v0.8.2-rc2 ma podatność w transporcie MCP stdio, który akceptuje dowolne polecenia bez walidacji. Pozwala to każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń powłoki jako root wewnątrz kontenera przez pojedyncze żądanie API. Luka została naprawiona w wersji v0.8.2-rc2.
- CVE-2025-69222Krytyczne
LibreChat w wersji 0.8.1-rc2 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu braku ograniczeń w funkcji Actions w domyślnej konfiguracji. Agenci mogą uzyskiwać dostęp do wewnętrznych usług, takich jak RAG API w domyślnym Docker Compose.
- CVE-2026-54040Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala atakującemu z przechwyconym tokenem sesji na wygenerowanie nowych kodów zapasowych 2FA bez weryfikacji TOTP lub istniejącego kodu. Umożliwia to ominięcie uwierzytelniania dwuskładnikowego lub całkowite jego wyłączenie.
- CVE-2026-54037Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na ominięcie ograniczników szybkości dodanych dla endpointu /fork poprzez użycie endpointu /duplicate, który wykonuje te same kosztowne operacje bazodanowe, ale nie posiada żadnego ogranicznika. Może to prowadzić do wyczerpania zasobów serwera.
- CVE-2026-54033Wysokie
LibreChat przed wersją 0.8.4-rc1 umożliwia uwierzytelnionym użytkownikom ustawienie własnego adresu URL dla API kompatybilnego z OpenAI. Ten adres URL jest używany do konstruowania żądań HTTP bez żadnej walidacji SSRF, co pozwala na kierowanie ruchu do wewnętrznych adresów sieciowych.
- CVE-2026-54030Wysokie
Podatność w LibreChat przed wersją 0.8.5 pozwala złośliwemu serwerowi MCP na kradzież tokenów dostępu przeznaczonych dla legalnego serwera. Implementacja OAuth MCP nie weryfikuje, czy parametr zasobu z metadanych chronionego zasobu OAuth (RFC 9728) jest zgodny ze skonfigurowanym adresem URL serwera MCP.
- CVE-2026-54029Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na usunięcie dowolnej wiadomości innego użytkownika. Brakuje ograniczenia właściciela wiadomości w funkcji usuwania, co umożliwia atak poprzez podanie własnego identyfikatora konwersacji i docelowego identyfikatora wiadomości ofiary.
- CVE-2026-54025Średnie
LibreChat przed wersją 0.8.4-rc1 zawiera podatność polegającą na braku eskejpingu podwójnych cudzysłowów w tekście alternatywnym obrazów w znacznikach Markdown. Atakujący może wstrzyknąć złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
LibreChat is an enhanced ChatGPT clone that supports multiple AI providers. In versions up to and including 0.8.3, a shared-agent editor can delete file records through `DELETE /api/files` that the owner has reused across multiple agents. The deletion removes the file globally — not just from the shared agent — breaking the owner's other private agents that reference the same `file_id`. The private agent retains a stale `file_id` reference that no longer resolves. A shared-agent editor can destroy files that the owner uses across multiple agents. The owner's private agents — which the attacker has no access to — break silently with stale `file_id` references. This is a cross-agent integrity violation: editing access to one agent should not affect another. Version 0.8.4 contains a patch.