PT-2026-28104 · Danny Avila+1 · Librechat

Danny Avila + 1 · Publicado 2026-03-25 · Atualizado 2026-06-03 · CVE-2026-31942

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas LibreChat versões anteriores a 0.8.3-rc1

Description Uma Referência Direta a Objeto Insegura (IDOR) existe no endpoint 'PUT /api/keys'. Devido ao uso do operador spread de objetos do JavaScript após a definição do ID do usuário autenticado, um usuário autenticado pode injetar um parâmetro userId no corpo da requisição para sobrescrever as chaves de API de outro usuário. Isso permite que um invasor substitua a configuração de chaves de API de uma vítima para provedores como OpenAI, Anthropic ou Azure, o que poderia rotear conversas através de chaves controladas pelo invasor ou causar a negação de serviço ao fornecer chaves inválidas.

Recommendations Atualize para a versão 0.8.3-rc1.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-31942

Produtos afetados

Librechat

Referências · 5

• https://github.com/danny-avila/LibreChat/security/advisories/GHSA-5jcj-rh68-cgj7 · Aviso do Fabricante
• https://t.me/CVEtracker/55669 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2061993204740657636 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-31942 · Nota de Segurança
• https://twitter.com/q1uf3ng/status/2036824777642655889 · Publicação no Twitter