LibreChatにおける不正な認証に関する脆弱性
| Title |
LibreChatにおける不正な認証に関する脆弱性
|
| Summary |
LibreChatは複数のAIプロバイダーをサポートする改良型ChatGPTクローンです。バージョン0.8.3まで(含む)では、共有エージェントの編集者が`DELETE /api/files`を通じて、所有者が複数のエージェント間で再利用しているファイルレコードを削除できます。この削除はグローバルにファイルを削除し、共有エージェントだけでなく、同じ`file_id`を参照する所有者の他のプライベートエージェントにも影響を与えます。プライベートエージェントはもはや解決しない古い`file_id`参照を保持し、正常に動作しなくなります。共有エージェントの編集者は、所有者が複数のエージェントで使用するファイルを破壊できてしまいます。攻撃者がアクセスできない所有者のプライベートエージェントは、古い`file_id`参照により静かに破損します。これはクロスエージェントの整合性違反であり、あるエージェントへの編集アクセスが他のエージェントに影響を与えてはなりません。この問題はバージョン0.8.4で修正されています。
|
| Possible impacts |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 2, 2026, midnight |
| Registration Date |
June 8, 2026, 11:46 a.m. |
| Last Update |
June 8, 2026, 11:46 a.m. |
|
CVSS3.0 : 重要
|
| Score |
8.1
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H |
Affected System
| LibreChat |
|
LibreChat 0.8.5 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月08日] 掲載 |
June 8, 2026, 11:46 a.m. |
NVD Vulnerability Information
CVE-2026-44654
| Summary |
LibreChat is an enhanced ChatGPT clone that supports multiple AI providers. In versions up to and including 0.8.3, a shared-agent editor can delete file records through `DELETE /api/files` that the owner has reused across multiple agents. The deletion removes the file globally — not just from the shared agent — breaking the owner's other private agents that reference the same `file_id`. The private agent retains a stale `file_id` reference that no longer resolves. A shared-agent editor can destroy files that the owner uses across multiple agents. The owner's private agents — which the attacker has no access to — break silently with stale `file_id` references. This is a cross-agent integrity violation: editing access to one agent should not affect another. Version 0.8.4 contains a patch.
|
| Publication Date |
June 3, 2026, 8:16 a.m. |
| Registration Date |
June 4, 2026, 4:16 a.m. |
| Last Update |
June 5, 2026, 12:48 a.m. |
Related information, measures and tools
Common Vulnerabilities List