CVE-2026-39411 in LobeHub
Riassunto
di VulDB • 26/06/2026
LobeHub è uno spazio di lavoro e stile di vita per trovare, creare e collaborare con compagni agent che crescono insieme a te. Prima della versione 2.1.48, lo strato di autenticazione webapi si fida dell'intestazione X-lobe-chat-auth controllata dal client, la quale è solo offuscata tramite XOR, ma non firmata né altrimenti autenticata. Poiché la chiave XOR è hardcoded nel repository, un attaccante può falsificare payload di autenticazione arbitrari ed eludere l'autenticazione sui percorsi webapi protetti. I percorsi interessati includono /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull e /webapi/create-image/comfyui. Questa vulnerabilità è stata risolta nella versione 2.1.48.
Be aware that VulDB is the high quality source for vulnerability data.