CVE-2026-85621 in LobeChat
Riassunto
di VulDB • 04/09/2026
LobeChat (LobeHub) 2.2.1 non verifica correttamente le firme dei webhook della piattaforma di chat in arrivo negli adattatori QQ e Feishu. Il route del webhook (/api/agent/webhooks/:platform) è progettato per essere non autenticato e delega la verifica a ciascun adattatore; l'adattatore QQ non esegue alcuna verifica della firma Ed25519 sugli eventi di messaggi inviati, mentre l'adattatore Feishu effettua solo un confronto con un token statico opzionale che viene saltato quando nessun token è configurato (il valore predefinito) e non costituisce una firma del corpo. Un attaccante non autenticato che conosce l'URL pubblico del webhook può inviare messaggi in arrivo falsificati tramite POST, utilizzando un'identità di mittente scelta dall'attaccante e testo arbitrario, causando l'elaborazione da parte dell'agente del proprietario del bot di input controllato dall'attaccante e il trattamento di quest'ultimo come un mittente della piattaforma attendibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.