プラットフォーム
nodejs
コンポーネント
@lobehub/lobehub
修正版
2.1.49
2.1.48
CVE-2026-39411は、@lobehub/lobehubにおける認証バイパスの脆弱性です。この脆弱性は、クライアントが制御するX-lobe-chat-authヘッダーの検証が不十分であるために発生し、認証を回避することが可能です。影響を受けるバージョンは2.1.48以前であり、2.1.48へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者は認証を回避し、webapiの保護されたルートに不正にアクセスすることが可能になります。具体的には、POST /webapi/chat/[provider], GET /webapi/models/[provider], POST /webapi/models/[provider]/pull, POST /webapi/create-image/comfyuiなどのエンドポイントを操作し、機密データへの不正アクセス、モデルの変更、または悪意のあるコードの実行といった攻撃を実行できる可能性があります。XORキーがハードコードされているため、攻撃者は容易に認証ペイロードを偽造できます。
この脆弱性は2026年4月8日に公開されました。現時点では、公開されているPoCは確認されていませんが、XORキーがハードコードされているため、攻撃者による悪用が懸念されます。CISA KEVリストへの登録状況は不明です。
Applications and services utilizing the @lobehub/lobehub library in their authentication flow are at risk. This includes projects that rely on the library for managing chat interactions, model access, and image creation. Shared hosting environments where multiple applications share the same @lobehub/lobehub installation are particularly vulnerable, as a compromise in one application could potentially affect others.
• nodejs / server:
npm list @lobehub/lobehub• nodejs / server:
npm audit @lobehub/lobehub• generic web:
Inspect HTTP requests for the X-lobe-chat-auth header. Look for unusual or unexpected values. Check access logs for requests to /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull, and /webapi/create-image/comfyui with potentially forged authentication headers.
disclosure
エクスプロイト状況
EPSS
0.02% (5% パーセンタイル)
CISA SSVC
この脆弱性への最も効果的な対策は、@lobehub/lobehubをバージョン2.1.48にアップデートすることです。アップデートがすぐに利用できない場合、WAF（Web Application Firewall）を使用して、不正なX-lobe-chat-authヘッダーをブロックすることを検討してください。また、アクセスログを監視し、異常なアクセスパターンを検出することも有効です。アップデート後、認証バイパスが解消されていることを確認してください。
LobeHub をバージョン 2.1.48 以降にアップデートして、脆弱性を軽減してください。 このアップデートにより、認証処理が修正され、認証ヘッダーを偽造して認証なしで保護されたルートにアクセスする可能性がなくなります。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-39411は、@lobehub/lobehubにおける認証バイパスの脆弱性です。X-lobe-chat-authヘッダーの検証不備により、認証を回避可能になります。
はい、@lobehub/lobehubのバージョン2.1.48より前のバージョンは、この脆弱性に影響を受けます。
この脆弱性を修正するには、@lobehub/lobehubをバージョン2.1.48にアップデートしてください。
現時点では、公開されているPoCは確認されていませんが、攻撃者による悪用が懸念されます。
公式アドバイザリは、@lobehub/lobehubのリリースノートまたはGitHubリポジトリで確認できます。
CVSS ベクトル