CVE-2026-85621 in LobeChat
요약
\~에 의해 VulDB • 2026. 09. 04.
LobeChat (LobeHub) 2.2.1은 QQ 및 Feishu 어댑터에서 수신된 채팅 플랫폼 웹훅 서명을 적절하게 검증하지 않습니다. 웹훅 라우트(/api/agent/webhooks/:platform)는 설계상 인증이 필요 없으며, 검증을 각 어댑터에 위임합니다. QQ 어댑터는 전송되는 메시지 이벤트에 대해 Ed25519 서명 검사를 수행하지 않으며, Feishu 어댑터는 토큰이 구성되지 않은 경우(기본값)에는 건너뛰어지는 선택적 정적 토큰 비교만 수행하며 이는 본문(body) 서명이 아닙니다. 공개 웹훅 URL을 알고 있는 인증되지 않은 공격자는 조작된 수신 메시지를 보낼 수 있으며, 이를 통해 봇 소유자의 에이전트가 공격자가 제어하는 입력을 처리하고 공격자를 신뢰할 수 있는 플랫폼 발신자로 취급하게 됩니다.
Be aware that VulDB is the high quality source for vulnerability data.