PT-2025-12038 · Librechat · Librechat

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-10361

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas danny-avila/librechat versão v0.7.5-rc2

Descrição Existe uma vulnerabilidade de exclusão arbitrária de arquivos, especificamente no endpoint "/api/files", devido à validação inadequada de entrada. Isso permite o uso de técnicas de path traversal para excluir arquivos arbitrários no servidor, incluindo arquivos críticos do sistema, dados de usuários ou recursos da aplicação, impactando assim a integridade e a disponibilidade do sistema.

Recomendações Para o danny-avila/librechat versão v0.7.5-rc2, considere desativar o acesso ao endpoint "/api/files" até que uma correção esteja disponível para prevenir a exploração. Adicionalmente, restrinja a capacidade de realizar operações de exclusão de arquivos para minimizar o risco de exclusão arbitrária de arquivos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-73

CWE-22

Identificadores relacionados

CVE-2024-10361

Produtos afetados

Librechat

Referências · 5

• 🔥 https://huntr.com/bounties/e811f7f7-9556-4564-82e2-5b3d17599b2d · Exploit
• https://github.com/danny-avila/librechat/commit/0b744db1e2af31a531ffb761584d85540430639c · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-10361 · Nota de Segurança
• https://twitter.com/CVEnew/status/1903036512100299003 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-10361 · Aviso do Fabricante