CVE-2026-39411 in LobeHub
요약
\~에 의해 VulDB • 2026. 06. 26.
LobeHub은 사용자와 함께 성장하는 에이전트 팀원들을 찾고, 구축하며 협업할 수 있는 업무 및 라이프스타일 공간입니다. 버전 2.1.48 이전의 webapi 인증 레이어는 클라이언트가 제어 가능한 X-lobe-chat-auth 헤더를 신뢰하는데, 이 헤더는 XOR로 난독화되어 있을 뿐 서명되거나 기타 방법으로 인증되지 않습니다. 저장소에 하드코딩된 XOR 키가 존재하므로 공격자는 임의의 auth 페이로드를 위조하여 보호되는 webapi 라우트의 인증을 우회할 수 있습니다. 영향을 받는 라우트에는 /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull, 그리고 /webapi/create-image/comfyui가 포함됩니다. 이 취약점은 버전 2.1.48에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.