PT-2025-12139 · Danny Avila · Librechat

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-12580

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas danny-avila/librechat versões anteriores à 0.7.6

Descrição Uma vulnerabilidade no software permite a injeção de logs de debug. Os parâmetros sessionId, fileId, userId e file id nos endpoints da API "/code/download/:sessionId/:fileId" e "/download/:userId/:file id" não são validados ou filtrados, levando a potenciais ataques de injeção de log. Isso pode causar distorção das informações de monitoramento e investigação, evadir a detecção por sistemas de segurança e criar dificuldades na manutenção e operação.

Recomendações Para versões anteriores à 0.7.6, atualize para a versão 0.7.6 ou posterior para resolver o problema. Como solução paliativa temporária, considere validar e filtrar os parâmetros sessionId, fileId, userId e file id nos endpoints da API afetados para prevenir ataques de injeção de log.

Exploit

Correção

Enumeração de Fraquezas

CWE-117

Identificadores relacionados

CVE-2024-12580

Produtos afetados

Librechat

Referências · 5

• 🔥 https://huntr.com/bounties/6e477667-dcd4-42c2-b342-a6ce09ffdeeb · Exploit
• https://github.com/danny-avila/librechat/commit/95d6bd2c2db4a09b308be2b96e3d5fd522c7b72a · Correção
• https://twitter.com/CVEnew/status/1903016831431970824 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-12580 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-12580 · Aviso do Fabricante