CVE-2025-69222

SSRF w LibreChat — brak ograniczeń funkcji Actions w domyślnej konfiguracji

CVSS 9.1v3.1pub. 2026-01-07upd. 2026-01-15

LibreChat w wersji 0.8.1-rc2 jest podatny na atak typu SSRF (Server-Side Request Forgery) wynikający z braku ograniczeń funkcji Actions w domyślnej konfiguracji. Podatność umożliwia atakującemu skierowanie żądań z serwera do wewnętrznych komponentów infrastruktury, w tym do RAG API dołączonego w domyślnym środowisku Docker Compose.

▸ Pokaż oryginał (EN)

LibreChat is a ChatGPT clone with additional features. Version 0.8.1-rc2 is prone to a server-side request forgery (SSRF) vulnerability due to missing restrictions of the Actions feature in the default configuration. LibreChat enables users to configure agents with predefined instructions and actions that can interact with remote services via OpenAPI specifications, supporting various HTTP methods, parameters, and authentication methods including custom headers. By default, there are no restrictions on accessible services, which means agents can also access internal components like the RAG API included in the default Docker Compose setup. This issue is fixed in version 0.8.1-rc2.

🤖 Analiza AI

Jak działa

LibreChat umożliwia użytkownikom konfigurowanie agentów z predefiniowanymi instrukcjami i akcjami, które mogą komunikować się ze zdalnymi usługami za pośrednictwem specyfikacji OpenAPI — obsługując różne metody HTTP, parametry oraz metody uwierzytelniania, w tym niestandardowe nagłówki. W domyślnej konfiguracji nie są nałożone żadne ograniczenia dotyczące dostępnych usług, co pozwala agentom na wysyłanie żądań do wewnętrznych komponentów sieci, takich jak RAG API. Uwierzytelniony użytkownik może zatem skonfigurować agenta w taki sposób, aby pośrednio odpytywał wewnętrzne zasoby niedostępne z zewnątrz.

Skutki

Atakujący z uprawnieniami zwykłego użytkownika może uzyskać nieautoryzowany dostęp do wewnętrznych usług i zasobów sieciowych (wysoki wpływ na poufność), a także potencjalnie modyfikować dane lub zaburzać działanie wewnętrznych komponentów (ograniczony wpływ na integralność i dostępność).

Mitygacja

Podatność została naprawiona w wersji 0.8.2-rc2. Należy zaktualizować LibreChat do wersji 0.8.2-rc2 lub nowszej zgodnie z informacjami opublikowanymi przez producenta. Jako dodatkowe zabezpieczenie warto wdrożyć restrykcje sieciowe ograniczające zakres usług dostępnych dla agentów.

Kogo dotyczy

LibreChat w wersji 0.8.1-rc2 — szczególnie instancje uruchamiane przy użyciu domyślnej konfiguracji Docker Compose z włączoną funkcją Actions.

Uwagi

Opis oryginalny zawiera niespójność — wskazuje zarówno wersję 0.8.1-rc2 jako podatną, jak i jako wersję, w której problem został naprawiony. Zgodnie z referencjami producenta (GitHub release), poprawka została wprowadzona w wersji 0.8.2-rc2.