CVE-2026-23835 in lobe-chat
Riassunto
di VulDB • 21/06/2026
LobeHub è una rete open source di agenti umani e di intelligenza artificiale. Prima della versione 1.143.3, la funzionalità di caricamento file in `Knowledge Base > File Upload` non convalida l'integrità della richiesta di caricamento, consentendo agli utenti di intercettare e modificare i parametri della richiesta. Di conseguenza, è possibile creare file arbitrari in percorsi anomali o non previsti. Inoltre, poiché `lobechat.com` si affida al parametro `size` della richiesta per calcolare l'utilizzo dello spazio file, un attaccante può manipolare questo valore per distorcere le dimensioni effettive del file, ad esempio caricando un file da `1 GB` dichiarandolo come `10 MB`, o dichiarando falsamente un file da `10 MB` come se fosse da `1 GB`. Manipolando il valore `size` fornito nella richiesta di caricamento dal client, è possibile eludere il limite mensile di caricamento imposto dal server e continuare a caricare file oltre i limiti di archiviazione e traffico previsti. Questo abuso può comportare una discrepanza tra il consumo effettivo delle risorse e i calcoli di fatturazione, causando un impatto finanziario diretto per l'operatore del servizio. Inoltre, l'esaurimento dello spazio di archiviazione o di altre risorse correlate può portare a una riduzione della disponibilità del servizio, inclusi caricamenti falliti, ritardi nella consegna dei contenuti o sospensione temporanea della funzionalità di caricamento per gli utenti legittimi. Un singolo utente malintenzionato può inoltre influire negativamente su altri utenti o progetti che condividono lo stesso piano di abbonamento, causando efficacemente un denial of service (DoS) indiretto. Inoltre, caricamenti eccessivi e non tracciati possono distorcere le metriche di monitoraggio e sovraccaricare i sistemi downstream, come i processi di backup, la scansione malware e le pipeline di elaborazione multimediale, compromettendo infine la stabilità operativa complessiva e l'affidabilità del servizio. La versione 1.143.3 contiene una patch per risolvere il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.