CVE-2026-54033
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
LibreChat przed wersją 0.8.4-rc1 umożliwia uwierzytelnionym użytkownikom ustawienie własnego adresu URL dla API kompatybilnego z OpenAI. Ten adres URL jest używany do konstruowania żądań HTTP bez żadnej walidacji SSRF, co pozwala na kierowanie ruchu do wewnętrznych adresów sieciowych.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci organizacji, uzyskania dostępu do wewnętrznych usług lub przeprowadzenia ataków typu Server-Side Request Forgery (SSRF), co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować LibreChat do wersji 0.8.4-rc1 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w LibreChat
Zobacz wszystkie- CVE-2025-69220Wysokie
LibreChat w wersji 0.8.1-rc2 nie egzekwuje odpowiedniej kontroli dostępu dla przesyłania plików do kontekstu plików agentów i wyszukiwania plików. Uwierzytelniony atakujący ze znajomością ID agenta może zmienić zachowanie dowolnych agentów, przesyłając nowe pliki, nawet bez uprawnień do danego agenta. Problem naprawiono w wersji 0.8.2-rc2.
- CVE-2026-32625Krytyczne
LibreChat w wersjach do 0.8.3 włącznie zawiera podatność w integracji z serwerem Model Context Protocol (MCP), która podczas walidacji schematu Zod dla adresów URL MCP dostarczonych przez użytkownika rozwijane są zmienne środowiskowe ${VAR}. Uwierzytelniony użytkownik może utworzyć złośliwą konfigurację MCP, która spowoduje wysłanie tajnych kluczy (CREDS_KEY, CREDS_IV, JWT_SECRET, MONGO_URI) do atakującego serwera.
- CVE-2026-22252Krytyczne
LibreChat przed wersją v0.8.2-rc2 ma podatność w transporcie MCP stdio, który akceptuje dowolne polecenia bez walidacji. Pozwala to każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń powłoki jako root wewnątrz kontenera przez pojedyncze żądanie API. Luka została naprawiona w wersji v0.8.2-rc2.
- CVE-2025-69222Krytyczne
LibreChat w wersji 0.8.1-rc2 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu braku ograniczeń w funkcji Actions w domyślnej konfiguracji. Agenci mogą uzyskiwać dostęp do wewnętrznych usług, takich jak RAG API w domyślnym Docker Compose.
- CVE-2026-54040Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala atakującemu z przechwyconym tokenem sesji na wygenerowanie nowych kodów zapasowych 2FA bez weryfikacji TOTP lub istniejącego kodu. Umożliwia to ominięcie uwierzytelniania dwuskładnikowego lub całkowite jego wyłączenie.
- CVE-2026-54037Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na ominięcie ograniczników szybkości dodanych dla endpointu /fork poprzez użycie endpointu /duplicate, który wykonuje te same kosztowne operacje bazodanowe, ale nie posiada żadnego ogranicznika. Może to prowadzić do wyczerpania zasobów serwera.
- CVE-2026-54030Wysokie
Podatność w LibreChat przed wersją 0.8.5 pozwala złośliwemu serwerowi MCP na kradzież tokenów dostępu przeznaczonych dla legalnego serwera. Implementacja OAuth MCP nie weryfikuje, czy parametr zasobu z metadanych chronionego zasobu OAuth (RFC 9728) jest zgodny ze skonfigurowanym adresem URL serwera MCP.
- CVE-2026-54029Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na usunięcie dowolnej wiadomości innego użytkownika. Brakuje ograniczenia właściciela wiadomości w funkcji usuwania, co umożliwia atak poprzez podanie własnego identyfikatora konwersacji i docelowego identyfikatora wiadomości ofiary.
- CVE-2026-54025Średnie
LibreChat przed wersją 0.8.4-rc1 zawiera podatność polegającą na braku eskejpingu podwójnych cudzysłowów w tekście alternatywnym obrazów w znacznikach Markdown. Atakujący może wstrzyknąć złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-54024Średnie
Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na przesyłanie dowolnie dużych plików przez endpoint importu konwersacji, co może prowadzić do wyczerpania miejsca na dysku i pamięci serwera. Problem wynika z braku ograniczeń rozmiaru pliku w osobnej instancji multer dla tego endpointu oraz domyślnie wyłączonej kontroli rozmiaru na poziomie aplikacji.
Oryginalny opis (angielski, źródło NVD)
LibreChat is an enhanced ChatGPT clone that supports multiple AI providers. Prior to 0.8.4-rc1, LibreChat allows users to configure custom OpenAI-compatible API endpoints by setting a baseURL. This URL is used to construct HTTP requests without any SSRF validation — no private IP check, no scheme restriction, no DNS pinning. An authenticated user can set baseURL to internal network addresses. This vulnerability is fixed in 0.8.4-rc1.