Podatności LibreChat

LibreChat w wersjach do 0.8.3 włącznie zawiera podatność w integracji z serwerem Model Context Protocol (MCP), która podczas walidacji schematu Zod dla adresów URL MCP dostarczonych przez użytkownika rozwijane są zmienne środowiskowe ${VAR}. Uwierzytelniony użytkownik może utworzyć złośliwą konfigurację MCP, która spowoduje wysłanie tajnych kluczy (CREDS_KEY, CREDS_IV, JWT_SECRET, MONGO_URI) do atakującego serwera.

LibreChat przed wersją v0.8.2-rc2 ma podatność w transporcie MCP stdio, który akceptuje dowolne polecenia bez walidacji. Pozwala to każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń powłoki jako root wewnątrz kontenera przez pojedyncze żądanie API. Luka została naprawiona w wersji v0.8.2-rc2.

LibreChat w wersji 0.8.1-rc2 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu braku ograniczeń w funkcji Actions w domyślnej konfiguracji. Agenci mogą uzyskiwać dostęp do wewnętrznych usług, takich jak RAG API w domyślnym Docker Compose.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala atakującemu z przechwyconym tokenem sesji na wygenerowanie nowych kodów zapasowych 2FA bez weryfikacji TOTP lub istniejącego kodu. Umożliwia to ominięcie uwierzytelniania dwuskładnikowego lub całkowite jego wyłączenie.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na ominięcie ograniczników szybkości dodanych dla endpointu /fork poprzez użycie endpointu /duplicate, który wykonuje te same kosztowne operacje bazodanowe, ale nie posiada żadnego ogranicznika. Może to prowadzić do wyczerpania zasobów serwera.

LibreChat przed wersją 0.8.4-rc1 umożliwia uwierzytelnionym użytkownikom ustawienie własnego adresu URL dla API kompatybilnego z OpenAI. Ten adres URL jest używany do konstruowania żądań HTTP bez żadnej walidacji SSRF, co pozwala na kierowanie ruchu do wewnętrznych adresów sieciowych.

Podatność w LibreChat przed wersją 0.8.5 pozwala złośliwemu serwerowi MCP na kradzież tokenów dostępu przeznaczonych dla legalnego serwera. Implementacja OAuth MCP nie weryfikuje, czy parametr zasobu z metadanych chronionego zasobu OAuth (RFC 9728) jest zgodny ze skonfigurowanym adresem URL serwera MCP.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na usunięcie dowolnej wiadomości innego użytkownika. Brakuje ograniczenia właściciela wiadomości w funkcji usuwania, co umożliwia atak poprzez podanie własnego identyfikatora konwersacji i docelowego identyfikatora wiadomości ofiary.

LibreChat przed wersją 0.8.4-rc1 zawiera podatność polegającą na braku eskejpingu podwójnych cudzysłowów w tekście alternatywnym obrazów w znacznikach Markdown. Atakujący może wstrzyknąć złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.

Podatność w LibreChat przed wersją 0.8.4-rc1 pozwala uwierzytelnionemu użytkownikowi na przesyłanie dowolnie dużych plików przez endpoint importu konwersacji, co może prowadzić do wyczerpania miejsca na dysku i pamięci serwera. Problem wynika z braku ograniczeń rozmiaru pliku w osobnej instancji multer dla tego endpointu oraz domyślnie wyłączonej kontroli rozmiaru na poziomie aplikacji.

LibreChat w wersjach do 0.8.3 pozwala edytorowi współdzielonego agenta na usunięcie rekordów plików przez DELETE /api/files, które właściciel wykorzystał w wielu agentach. Usunięcie pliku jest globalne, co powoduje uszkodzenie innych prywatnych agentów właściciela, którzy odwołują się do tego samego identyfikatora pliku. Problem został naprawiony w wersji 0.8.4.

LibreChat w wersjach do 0.8.3 włącznie pozwala użytkownikom z dostępem tylko do odczytu (VIEW) do serwera MCP na pobranie odszyfrowanych tajemnic zarządzanych przez administratora za pomocą endpointów GET /api/mcp/servers i GET /api/mcp/servers/:serverName. Zwracana konfiguracja zawiera wartości w postaci jawnego tekstu dla apiKey.key i oauth.client_secret. Pozwala to widzom współdzielonego serwera MCP na wyciek danych uwierzytelniających dostawcy. Wersja 0.8.4 zawiera poprawkę.

LibreChat to klon ChatGPT obsługujący wielu dostawców AI. W wersjach do 0.7.6 istnieje podatność IDOR w endpointzie zarządzania kluczami API (PUT /api/keys). Z powodu użycia operatora spread po ustawieniu ID uwierzytelnionego użytkownika, każdy uwierzytelniony użytkownik może wstrzyknąć parametr userId w ciele żądania, aby nadpisać klucze API innego użytkownika (np. OpenAI, Anthropic, Azure). Atakujący może przekierować rozmowy ofiary przez swoje klucze lub odmówić usługi.

LibreChat przed wersją 0.8.4 ufa polu 'name' zwracanemu przez sandbox execute_code podczas zapisywania artefaktów wygenerowanych przez kod. Atakujący może użyć sekwencji nawigacyjnych (np. '../../') w nazwie pliku, co prowadzi do zapisu pliku w dowolnej lokalizacji na serwerze bez walidacji.

LibreChat to klon ChatGPT z dodatkowymi funkcjami. W wersjach od 0.8.2-rc1 do 0.8.3-rc1 serwery MCP (Model Context Protocol) tworzone przez użytkowników mogą zawierać dowolne nagłówki HTTP, w których następuje podstawianie symboli zastępczych poświadczeń. Atakujący może utworzyć złośliwy serwer MCP z nagłówkami zawierającymi {{LIBRECHAT_OPENID_ACCESS_TOKEN}} (i inne), powodując wyciek tokenów OAuth ofiar, które wywołują narzędzia na tym serwerze. Wersja 0.8.3-rc2 naprawia problem.

LibreChat w wersjach 0.8.2-rc2 do 0.8.2-rc3 nie weryfikuje, czy użytkownik żądający strumienia SSE jest jego właścicielem. Każdy uwierzytelniony użytkownik znający identyfikator strumienia może odczytać treść czatu innego użytkownika.

LibreChat w wersji 0.8.1-rc2 nie wymusza właściwej kontroli dostępu podczas sprawdzania uprawnień agentów. Uwierzytelniony atakujący może odczytać uprawnienia dowolnych agentów, nawet jeśli nie ma do nich uprawnień, w tym uprawnienia indywidualnie przypisane innym użytkownikom.

LibreChat w wersji 0.8.1-rc2 nie egzekwuje odpowiedniej kontroli dostępu dla przesyłania plików do kontekstu plików agentów i wyszukiwania plików. Uwierzytelniony atakujący ze znajomością ID agenta może zmienić zachowanie dowolnych agentów, przesyłając nowe pliki, nawet bez uprawnień do danego agenta. Problem naprawiono w wersji 0.8.2-rc2.

LibreChat w wersjach 0.8.0 i starszych nie obsługuje błędów parsowania JSON. Błąd SyntaxError z express.json() zawiera dane wejściowe użytkownika, które są odzwierciedlane w odpowiedziach, co może prowadzić do ataków XSS, jeśli typ Content-Type nie jest ściśle egzekwowany.

LibreChat w wersjach 0.8.0 i starszych nieprawidłowo waliduje treść żądań JSON wysyłanych do endpointu PATCH dla grup promptów (/api/prompts/groups/:groupId). Funkcja patchPromptGroup przekazuje req.body bezpośrednio do updatePromptGroup() bez filtrowania wrażliwych pól, co pozwala użytkownikom modyfikować prompty w nieprzewidziany sposób.

LibreChat to klon ChatGPT z dodatkowymi funkcjami. W wersjach 0.8.0 i starszych, gdy użytkownik zadaje pytanie, parametr iconURL w żądaniu POST może zostać zmodyfikowany przez atakującego. Złośliwy kod jest następnie przechowywany w czacie, który może być udostępniany innym użytkownikom. Udostępnianie czatów z potencjalnie złośliwym 'trackerem' może prowadzić do utraty prywatności użytkowników, którzy otworzą przesłany link do czatu. Problem został naprawiony w wersji 0.8.1.

LibreChat to klon ChatGPT z dodatkowymi funkcjami. Przed wersją 0.8.1-rc2 LibreChat jest podatny na Server-side Request Forgery (SSRF) poprzez przekazywanie specjalnie spreparowanych specyfikacji OpenAPI do funkcji "Actions" i sprawienie, że LLM użyje tych akcji. Może to być wykorzystane przez uwierzytelnionego użytkownika z dostępem do tej funkcji do uzyskania dostępu do adresów URL dostępnych tylko dla serwera LibreChat (takich jak usługi metadanych chmury, przez co możliwe jest podszycie się pod serwer). Problem został naprawiony w wersji 0.8.1-rc2.

LibreChat w wersji 0.7.9 jest podatny na atak typu Denial of Service (DoS) z powodu nieograniczonych wartości parametrów w punkcie końcowym `/api/memories`. Parametry `key` i `value` akceptują dowolnie duże dane wejściowe bez odpowiedniej walidacji, co prowadzi do błędu null pointer w backendzie opartym na Rust, gdy zostaną przesłane zbyt duże wartości. Skutkuje to niemożnością tworzenia nowych wspomnień, co wpływa na stabilność usługi.

W danny-avila/librechat w wersji 0.7.9 występuje problem z niebezpiecznym projektem API w przepływie uwierzytelniania dwuskładnikowego (2FA). System umożliwia użytkownikom wyłączenie 2FA bez wymaganego ważnego OTP lub kodu zapasowego, omijając zamierzony proces weryfikacji. Podatność wynika z tego, że backend nie waliduje poprawnie OTP ani kodu zapasowego, gdy punkt końcowy API '/api/auth/2fa/disable' jest bezpośrednio wywoływany.

Podatność w LibreChat w wersji 0.7.9 umożliwia wstrzyknięcie HTML przez nagłówek Accept-Language. Zalogowany użytkownik może wysłać spreparowane żądanie GET, co prowadzi do wstrzyknięcia dowolnego HTML do znacznika <html lang=""> w odpowiedzi, co może prowadzić do ataków XSS.

Podatność typu mass assignment istnieje w danny-avila/librechat, dotyczy wszystkich wersji. Pozwala atakującym manipulować wrażliwymi polami poprzez automatyczne wiązanie danych dostarczonych przez użytkownika z wewnętrznymi właściwościami obiektów lub polami bazy danych bez odpowiedniego filtrowania. W rezultacie dodatkowe pola w treści żądania są uwzględniane w agentData i przekazywane do warstwy bazy danych, umożliwiając nadpisanie dowolnego pola w schemacie, takiego jak author, access_level, isCollaborative i projectIds. Dodatkowo, Object.Prototype może być zanieczyszczony z powodu użycia Object.assign z operatorami rozprzestrzeniania.

LibreChat zawiera podatność obejścia autoryzacji wynikającą z nieprawidłowej kontroli dostępu. Funkcja checkAccess używa permissions.some(), co przyznaje dostęp, gdy spełnione jest tylko jedno z wymaganych uprawnień — użytkownik z rolą USER może tworzyć agentów mimo braku uprawnienia CREATE.