CVE-2026-85621 in LobeChat
الملخص
بحسب VulDB • 04/09/2026
لا يتحقق LobeChat (LobeHub) الإصدار 2.2.1 بشكل صحيح من توقيعات الويب هوك الواردة لمنصات الدردشة في مكوّني QQ وFeishu. مسار الويب هوك (/api/agent/webhooks/:platform) غير مُصادَق عليه أصلاً، ويعهد بمهمة التحقق إلى كل مكوّن على حدة؛ حيث لا يقوم المكوّن الخاص بـQQ بإجراء أي تحقق من توقيع Ed25519 على أحداث الرسائل المُرسَلة، ويقوم المكوّن الخاص بـFeishu فقط بالمقارنة باستخدام رمز ثابت اختياري يتم تخطيه عند عدم تكوين رمز (وهو الإعداد الافتراضي)، ولا يُعدّ هذا التوقيع لتجزئة الجسم. يمكن لمهاجم غير مُصادَق عليه يعرف عنوان الويب هوك العام إرسال رسائل واردة مزورة عبر POST مع هوية مرسل يختارها المهاجم ونص عشوائي، مما يتسبب في معالجة وكيل مالك البوت لإدخال خاضع لسيطرة المهاجم ومعاملة المهاجم كمرسل موثوق به على المنصة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.