PT-2026-55298 · Lobe Chat · Lobe Chat

George Chen · Publicado 2026-07-02 · Atualizado 2026-07-02 · CVE-2026-59098

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas LobeChat versões anteriores a 2.3.0

Description Existe uma falha de controle de acesso na funcionalidade de busca semântica de geração aumentada de recuperação (RAG). Atacantes autenticados podem acessar dados de outros usuários devido à ausência de predicados de identificação de usuário no método semanticSearch do modelo de chunk. Ao fornecer identificadores arbitrários de arquivos ou bases de conhecimento de vítimas através dos caminhos de recuperação de chunk e base de conhecimento de chat, um atacante pode recuperar metadados, nomes de arquivos e conteúdo de texto pertencentes a outros usuários.

Recommendations Atualize o LobeChat para a versão 2.3.0 ou posterior.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-59098

Produtos afetados

Lobe Chat

Referências · 7

• 🔥 https://github.com/lobehub/lobehub/issues/16535 · Exploit
• https://github.com/lobehub/lobehub/commit/4a7931a4e66832947dba11afdffae2918a56b6a0 · Correção
• https://github.com/lobehub/lobehub/pull/16594 · Nota
• https://twitter.com/infoflowcloud/status/2072815508701741276 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2072814586886304246 · Publicação no Twitter
• https://vulncheck.com/advisories/lobechat-cross-user-document-disclosure-via-unscoped-rag-semantic-search · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-59098 · Nota de Segurança