Platform
nodejs
Component
librechat
Opgelost in
0.7.6
CVE-2024-10361 beschrijft een Path Traversal kwetsbaarheid in LibreChat, een applicatie gebouwd met Node.js. Deze kwetsbaarheid stelt aanvallers in staat om willekeurige bestanden op de server te verwijderen, wat kan leiden tot dataverlies, systeeminstabiliteit en mogelijk compromittering van de hele applicatie. De kwetsbaarheid treedt op in versies van LibreChat tot en met 0.7.5 en is verholpen in versie 0.7.5.
De impact van deze Path Traversal kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om bestanden buiten de beoogde directory te verwijderen, inclusief kritieke systeembestanden, gebruikersgegevens of applicatieresources. Dit kan leiden tot een Denial of Service (DoS) door essentiële bestanden te verwijderen, of tot een volledige compromittering van de server als gevoelige configuratiebestanden of credentials worden verwijderd. Het is vergelijkbaar met scenario's waarbij een aanvaller toegang krijgt tot een directory met upload functionaliteit en vervolgens bestanden buiten die directory kan verwijderen, waardoor de integriteit van het systeem in gevaar komt.
Op dit moment (2025-03-20) is er geen informatie beschikbaar over actieve exploitatiecampagnes gerelateerd aan CVE-2024-10361. Er zijn geen publieke Proof-of-Concept (PoC) exploits bekend. De kwetsbaarheid is opgenomen in het NVD (National Vulnerability Database) en is nog niet toegevoegd aan de CISA KEV catalogus. De kans op exploitatie wordt beschouwd als medium, gezien de relatieve eenvoud van Path Traversal exploits en de potentieel grote impact.
Organizations deploying LibreChat, particularly those using older versions (≤0.7.5), are at risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as an attacker could potentially compromise other users' data through file deletion. Systems with inadequate file permission configurations are also at increased risk.
• nodejs / server:
ps aux | grep librechat• nodejs / server:
find / -name "librechat" -type d 2>/dev/null | xargs -I {} sh -c "ls -la {}/api/files""• generic web:
Use curl or wget to test the /api/files endpoint with various path traversal payloads (e.g., ../../../../etc/passwd) to see if arbitrary files can be accessed or deleted. Examine access and error logs for suspicious requests.
disclosure
Exploit Status
EPSS
0.37% (59% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van LibreChat naar versie 0.7.5 of hoger, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de /api/files endpoint via een Web Application Firewall (WAF) of proxy. Configureer de WAF om requests met verdachte paden te blokkeren, bijvoorbeeld requests die ‘..’ bevatten. Controleer de configuratie van LibreChat om te verzekeren dat de directory waarin bestanden worden opgeslagen, correct is beveiligd en dat er geen onbevoegde toegang mogelijk is. Na de upgrade, verifieer de correcte werking van de applicatie door te controleren of bestanden niet langer willekeurig verwijderd kunnen worden via de /api/files endpoint.
Actualice LibreChat a la versión 0.7.5 o superior. Esta versión contiene una corrección para la vulnerabilidad de path traversal que permite la eliminación arbitraria de archivos. La actualización evitará que atacantes exploten esta vulnerabilidad para comprometer la integridad y disponibilidad del sistema.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-10361 is a HIGH severity vulnerability in LibreChat versions up to 0.7.5 allowing attackers to delete arbitrary files due to improper input validation in the /api/files endpoint.
You are affected if you are running LibreChat version 0.7.5 or earlier. Upgrade to version 0.7.5 to mitigate the risk.
Upgrade LibreChat to version 0.7.5 or later. As a temporary workaround, restrict access to the /api/files endpoint using a WAF or proxy.
As of 2025-03-20, no public exploits are known, but the vulnerability's ease of exploitation suggests a potential for exploitation.
Refer to the official LibreChat project repository and security advisories for updates and further information regarding CVE-2024-10361.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.