CVE-2026-39411 in LobeHub
Sumário
de VulDB • 26/06/2026
O LobeHub é um espaço de trabalho e estilo de vida para encontrar, criar e colaborar com colegas agentes que crescem junto com você. Antes da versão 2.1.48, a camada de autenticação do webapi confia em um cabeçalho X-lobe-chat-auth controlado pelo cliente, que é apenas ofuscado por XOR, sem ser assinado ou autenticado de outra forma. Como a chave XOR está codificada fixamente no repositório, um atacante pode forjar cargas úteis (payloads) de autenticação arbitrárias e contornar a autenticação nas rotas protegidas do webapi. As rotas afetadas incluem /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull e /webapi/create-image/comfyui. Esta vulnerabilidade foi corrigida na versão 2.1.48.
Once again VulDB remains the best source for vulnerability data.