lobe-chat implementou uma correção insuficiente para GHSA-mxhq-xw3g-rphc (CVE-2024-32964)

Um atacante pode explorar essa vulnerabilidade fornecendo uma URL externa maliciosa que redireciona para um recurso interno. Como a proteção SSRF não considera redirecionamentos, o atacante pode efetivamente acessar dados confidenciais ou executar ações em nome do servidor. Isso pode levar à exposição de informações sensíveis, como credenciais de banco de dados ou chaves de API, ou até mesmo permitir a execução de comandos no servidor, dependendo da configuração e dos recursos internos acessíveis. A exploração bem-sucedida pode resultar em um comprometimento significativo da segurança do sistema.

Organizations deploying @lobehub/chat in production environments, particularly those that rely on it for proxying external requests, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit the vulnerability through another user's application.

• nodejs / server:

  grep -r 'https://github.com/lobehub/lobe-chat/blob/main/src/app/api/proxy/route.ts' . 

• generic web:

  curl -I <lobehub/chat endpoint> | grep 'Location:'

1. 2024-09-23Disclosure

   disclosure

2. 2024-09-23PoC

   poc

3. 2024-09-23Patch

   patch

1. Reservado2024-09-17
2. Publicada2024-09-23
3. Modificada2026-02-04
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar a biblioteca @lobehub/chat para a versão 1.19.13 ou superior. Se a atualização imediata não for possível, considere implementar um Web Application Firewall (WAF) para filtrar solicitações com redirecionamentos suspeitos. Além disso, revise a configuração da aplicação para garantir que apenas as URLs necessárias sejam permitidas e que o acesso a recursos internos seja restrito. Monitore os logs de acesso e erro em busca de padrões incomuns que possam indicar uma tentativa de exploração.