Descripción
LangChat hasta el commit 2a6285a contiene una vulnerabilidad de falta de autenticación que permite a atacantes remotos no autenticados acceder a los controladores REST, debido a que no hay ningún interceptor Sa-Token registrado. Los atacantes pueden consultar /api/v1/auth/users para leer contraseñas en texto plano, obtener claves API de proveedores de LLM, crear cuentas de superadministrador y modificar o eliminar datos.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- langchat Afectadas: hasta 2a6285a6b8c51d51cdc599771bb667a30bc03f5c
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/langchat-missing-global-auth-credential-expo…
- Referencia en github.comgithub.com/LangChat/langchat/blob/2a6285a6b8c51d51cdc599771bb667a30bc…
- Referencia en github.comgithub.com/LangChat/langchat/blob/2a6285a6b8c51d51cdc599771bb667a30bc…
- Referencia en github.comgithub.com/LangChat/langchat/blob/2a6285a6b8c51d51cdc599771bb667a30bc…
- Aviso de vulncheck.comvulncheck.com/advisories/langchat-through-commit-2a6285a-missing-auth…
Ver el texto original en inglés (CVE.org)
LangChat through commit 2a6285a Missing Authentication on REST API Controllers
LangChat through commit 2a6285a contains a missing authentication vulnerability that allows unauthenticated remote attackers to access REST controllers because no Sa-Token interceptor is registered. Attackers can query /api/v1/auth/users to read plaintext passwords, retrieve LLM provider API keys, create super-admin accounts, and modify or delete data.