CVE-2026-39411 in LobeHub
Zusammenfassung
von VulDB • 26.06.2026
LobeHub ist ein Arbeits- und Lebensstilbereich zum Finden, Erstellen und Zusammenarbeiten mit Agent-Mitarbeitern, die mit Ihnen wachsen. Vor Version 2.1.48 vertraut die Web-API-Authentifizierungsschicht einem clientgesteuerten X-lobe-chat-auth-Header, der nur XOR-verschlüsselt (XOR-obfuscated), sondern nicht signiert oder anderweitig authentifiziert ist. Da der XOR-Schlüssel im Repository fest codiert ist, kann ein Angreifer beliebige Auth-Payloads fälschen und die Authentifizierung auf geschützten Web-API-Routen umgehen. Zu den betroffenen Routen gehören /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull sowie /webapi/create-image/comfyui. Diese Schwachstelle wurde in Version 2.1.48 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.