LibreChat 是一个带有附加功能的 ChatGPT 克隆。版本 0.8.1-rc2 存在服务器端请求伪造 (SSRF) 漏洞，原因是默认配置中 Actions 功能缺少限制。LibreChat 允许用户配置带有预定义指令和操作的代理，这些操作可以通过 OpenAPI 规范与远程服务交互，支持各种 HTTP 方法、参数和身份验证方法，包括自定义标头。默认情况下，对可访问的服务没有任何限制，这意味着代理也可以访问 RAG API 等内部组件，该 API 包含在默认的 Docker Compose 设置中。此问题在版本 0.8.1-rc2 中已修复。

该 SSRF 漏洞的潜在影响非常严重。攻击者可以利用该漏洞绕过安全措施，访问内部网络资源，例如数据库、API 和管理界面。攻击者还可以利用该漏洞执行恶意代码，例如通过访问内部服务并利用其漏洞来执行命令。由于 LibreChat 旨在与外部服务交互，因此该漏洞可能允许攻击者利用代理访问外部资源，进一步扩大攻击范围。攻击者可以利用此漏洞窃取敏感数据，例如用户凭据、API 密钥和数据库内容。此外，攻击者还可以利用该漏洞进行横向移动，访问其他内部系统。

Organizations deploying LibreChat within Docker containers, particularly those with exposed internal APIs or sensitive data accessible via the RAG API, are at significant risk. Shared hosting environments where LibreChat instances share resources with other applications are also vulnerable, as a successful exploitation could potentially impact other tenants.

• docker: Inspect Docker container network configuration for excessive outbound access.

docker inspect <container_id> | grep NetworkSettings

• linux / server: Monitor system logs for unusual outbound HTTP requests originating from the LibreChat container.

journalctl -u librechat -f | grep -i "http://"

• generic web: Monitor access logs for requests to internal services from the LibreChat server's IP address. Look for unusual user-agent strings or request patterns.

grep "<librechat_ip>" /var/log/apache2/access.log

1. 2026-01-07Disclosure

   disclosure

1. 已保留2025-12-29
2. 发布日期2026-01-07
3. 修改日期2026-01-15
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-69222，建议立即升级到已修复的版本。如果无法立即升级，可以考虑实施以下缓解措施：首先，限制 Actions 功能中允许访问的服务。配置 LibreChat，仅允许访问必要的外部服务，并阻止对内部资源的访问。其次，实施严格的输入验证和过滤，以防止攻击者构造恶意的请求。第三，使用防火墙或代理服务器来限制对内部服务的访问。第四，定期审查 LibreChat 的配置，以确保其安全。升级后，请验证配置是否正确，并测试 Actions 功能是否仍然正常工作。