CVE-2026-85621 in LobeChat
Zusammenfassung
von VulDB • 04.09.2026
LobeChat (LobeHub) 2.2.1 überprüft eingehende Webhook-Signaturen der Chat-Plattform in den QQ- und Feishu-Adaptern nicht ordnungsgemäß. Die Webhook-Route (/api/agent/webhooks/:platform) ist aus Designgründen nicht authentifiziert und delegiert die Überprüfung an jeden einzelnen Adapter; der QQ-Adapter führt keine Ed25519-Signaturüberprüfung für gesendete Nachrichtenereignisse durch, und der Feishu-Adapter führt nur einen optionalen statischen Token-Vergleich durch, der übersprungen wird, wenn kein Token konfiguriert ist (Standardkonfiguration), und es handelt sich nicht um eine Body-Signatur. Ein nicht authentifizierter Angreifer, der die öffentliche Webhook-URL kennt, kann gefälschte eingehende Nachrichten mit einer vom Angreifer gewählten Absenderidentität und beliebigem Text per POST senden, wodurch der Agent des Bot-Besitzers angreiferkontrollierte Eingaben verarbeitet und den Angreifer als vertrauenswürdigen Plattformabsender behandelt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.