Podatności LibreChat

LibreChat w wersji 0.8.1-rc2 nie egzekwuje odpowiedniej kontroli dostępu dla przesyłania plików do kontekstu plików agentów i wyszukiwania plików. Uwierzytelniony atakujący ze znajomością ID agenta może zmienić zachowanie dowolnych agentów, przesyłając nowe pliki, nawet bez uprawnień do danego agenta. Problem naprawiono w wersji 0.8.2-rc2.

LibreChat w wersjach do 0.8.3 włącznie zawiera podatność w integracji z serwerem Model Context Protocol (MCP), która podczas walidacji schematu Zod dla adresów URL MCP dostarczonych przez użytkownika rozwijane są zmienne środowiskowe ${VAR}. Uwierzytelniony użytkownik może utworzyć złośliwą konfigurację MCP, która spowoduje wysłanie tajnych kluczy (CREDS_KEY, CREDS_IV, JWT_SECRET, MONGO_URI) do atakującego serwera.

LibreChat przed wersją v0.8.2-rc2 ma podatność w transporcie MCP stdio, który akceptuje dowolne polecenia bez walidacji. Pozwala to każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń powłoki jako root wewnątrz kontenera przez pojedyncze żądanie API. Luka została naprawiona w wersji v0.8.2-rc2.

LibreChat w wersji 0.8.1-rc2 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu braku ograniczeń w funkcji Actions w domyślnej konfiguracji. Agenci mogą uzyskiwać dostęp do wewnętrznych usług, takich jak RAG API w domyślnym Docker Compose.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala atakującemu z przechwyconym tokenem sesji na wygenerowanie nowych kodów zapasowych 2FA bez weryfikacji TOTP lub istniejącego kodu. Umożliwia to ominięcie uwierzytelniania dwuskładnikowego lub całkowite jego wyłączenie.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na ominięcie ograniczników szybkości dodanych dla endpointu /fork poprzez użycie endpointu /duplicate, który wykonuje te same kosztowne operacje bazodanowe, ale nie posiada żadnego ogranicznika. Może to prowadzić do wyczerpania zasobów serwera.

LibreChat przed wersją 0.8.4-rc1 umożliwia uwierzytelnionym użytkownikom ustawienie własnego adresu URL dla API kompatybilnego z OpenAI. Ten adres URL jest używany do konstruowania żądań HTTP bez żadnej walidacji SSRF, co pozwala na kierowanie ruchu do wewnętrznych adresów sieciowych.

Podatność w LibreChat przed wersją 0.8.5 pozwala złośliwemu serwerowi MCP na kradzież tokenów dostępu przeznaczonych dla legalnego serwera. Implementacja OAuth MCP nie weryfikuje, czy parametr zasobu z metadanych chronionego zasobu OAuth (RFC 9728) jest zgodny ze skonfigurowanym adresem URL serwera MCP.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na usunięcie dowolnej wiadomości innego użytkownika. Brakuje ograniczenia właściciela wiadomości w funkcji usuwania, co umożliwia atak poprzez podanie własnego identyfikatora konwersacji i docelowego identyfikatora wiadomości ofiary.

LibreChat przed wersją 0.8.4-rc1 zawiera podatność polegającą na braku eskejpingu podwójnych cudzysłowów w tekście alternatywnym obrazów w znacznikach Markdown. Atakujący może wstrzyknąć złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na przesyłanie dowolnie dużych plików przez endpoint importu konwersacji, co może prowadzić do wyczerpania miejsca na dysku i pamięci serwera. Problem wynika z braku ograniczeń rozmiaru pliku w osobnej instancji multer dla tego endpointu oraz domyślnie wyłączonej kontroli rozmiaru na poziomie aplikacji.

LibreChat w wersjach do 0.8.3 pozwala edytorowi współdzielonego agenta na usunięcie rekordów plików przez DELETE /api/files, które właściciel wykorzystał w wielu agentach. Usunięcie pliku jest globalne, co powoduje uszkodzenie innych prywatnych agentów właściciela, którzy odwołują się do tego samego identyfikatora pliku. Problem został naprawiony w wersji 0.8.4.

LibreChat w wersjach do 0.8.3 włącznie pozwala użytkownikom z dostępem tylko do odczytu (VIEW) do serwera MCP na pobranie odszyfrowanych tajemnic zarządzanych przez administratora za pomocą endpointów GET /api/mcp/servers i GET /api/mcp/servers/:serverName. Zwracana konfiguracja zawiera wartości w postaci jawnego tekstu dla apiKey.key i oauth.client_secret. Pozwala to widzom współdzielonego serwera MCP na wyciek danych uwierzytelniających dostawcy. Wersja 0.8.4 zawiera poprawkę.

LibreChat to klon ChatGPT obsługujący wielu dostawców AI. W wersjach do 0.7.6 istnieje podatność IDOR w endpointzie zarządzania kluczami API (PUT /api/keys). Z powodu użycia operatora spread po ustawieniu ID uwierzytelnionego użytkownika, każdy uwierzytelniony użytkownik może wstrzyknąć parametr userId w ciele żądania, aby nadpisać klucze API innego użytkownika (np. OpenAI, Anthropic, Azure). Atakujący może przekierować rozmowy ofiary przez swoje klucze lub odmówić usługi.

LibreChat przed wersją 0.8.4 ufa polu 'name' zwracanemu przez sandbox execute_code podczas zapisywania artefaktów wygenerowanych przez kod. Atakujący może użyć sekwencji nawigacyjnych (np. '../../') w nazwie pliku, co prowadzi do zapisu pliku w dowolnej lokalizacji na serwerze bez walidacji.