PT-2024-25012 · Openai · Openai Api

Yyzsec · Publicado 2024-11-26 · Atualizado 2025-09-23 · CVE-2024-32965

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do lobe-chat anteriores à 1.19.13

Descrição

O Lobe Chat é uma estrutura de chat com IA de código aberto. A vulnerabilidade permite que um invasor crie solicitações maliciosas para causar SSRF sem precisar fazer login, atacar serviços de intranet e vazar informações confidenciais. O cabeçalho do token JWT X-Lobe-Chat-Auth, que armazena o endereço do proxy e a chave da API da OpenAI, pode ser modificado para escanear uma rede interna no ambiente lobe-web alvo.

Recomendações

Para versões anteriores à 1.19.13, atualize para a versão 1.19.13 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso ao cabeçalho X-Lobe-Chat-Auth e à chave da API da OpenAI para minimizar o risco de exploração. Evite usar o cabeçalho X-Lobe-Chat-Auth e a chave da API da OpenAI no endpoint da API afetado até que a vulnerabilidade seja resolvida.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-32965

GHSA-2XCC-VM3F-M8RW

Produtos afetados

Openai Api

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32965.json · Exploit
• https://github.com/lobehub/lobe-chat · Nota
• https://github.com/lobehub/lobe-chat/security/advisories/GHSA-2xcc-vm3f-m8rw · Aviso do Fabricante
• https://github.com/lobehub/lobe-chat/commit/e960a23b0c69a5762eb27d776d33dac443058faf · Correção
• https://t.me/cveNotify/136147 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-32965 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1861491521973035367 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-32965 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-2xcc-vm3f-m8rw · Aviso do Fabricante