PT-2025-39846 · Librechat · Librechat

CVE-2025-7104 · Publicado 2025-09-29 · Atualizado 2025-10-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas librechat (versões afetadas não especificadas)

Descrição Existe um problema de atribuição em massa que permite a manipulação de campos sensíveis. Atacantes podem explorar isso vinculando automaticamente dados fornecidos pelo usuário a propriedades internas de objetos ou campos de banco de dados sem a filtragem adequada. Campos extras no corpo da requisição são incluídos em agentData e passados para a camada de banco de dados, potencialmente sobrescrevendo campos como author, access level, isCollaborative e projectIds. O uso de Object.assign com operadores spread pode levar à poluição de Object.Prototype.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-915

Identificadores relacionados

CVE-2025-7104

Produtos afetados

Librechat

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/7xxx/CVE-2025-7104.json · Exploit
• https://github.com/danny-avila/librechat/commit/a37bf6719cfbc2de270f7d87b6b85d87cc1768db · Correção
• https://twitter.com/VulmonFeeds/status/1972715847320805587 · Publicação no Twitter
• https://t.me/CVEtracker/33637 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1972717919131046259 · Publicação no Twitter
• https://huntr.com/bounties/32a175c4-7543-4503-a3d0-7880abd1826b · Correção
• https://t.me/cveNotify/139007 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-7104 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-7104 · Nota de Segurança