CVE-2026-85621 in LobeChat
Sumário
de VulDB • 04/09/2026
O LobeChat (LobeHub) 2.2.1 não verifica adequadamente as assinaturas de webhook da plataforma de chat recebidas nos adaptadores QQ e Feishu. A rota do webhook (/api/agent/webhooks/:platform) é, por design, sem autenticação e delega a verificação a cada adaptador; o adaptador QQ não realiza nenhuma verificação de assinatura Ed25519 em eventos de mensagens enviadas, e o adaptador Feishu executa apenas uma comparação opcional com token estático que é ignorada quando nenhum token está configurado (o padrão) e não constitui uma assinatura do corpo da mensagem. Um atacante sem autenticação que conheça a URL pública do webhook pode enviar POSTs com mensagens de entrada falsificadas, utilizando uma identidade de remetente escolhida pelo atacante e texto arbitrário, fazendo com que o agente do proprietário do bot processe entradas controladas pelo atacante e trate o invasor como um remetente confiável da plataforma.
Be aware that VulDB is the high quality source for vulnerability data.