CVE-2026-54157: LobeHub: SSRF no Endpoint /webapi/proxy
As versões do LobeHub anteriores à 2.1.57 expõem o endpoint /webapi/proxy em app.lobehub.com, que busca do lado do servidor uma URL enviada no corpo de requisições POST (CWE-918, Server-Side Request Forgery). O CNA do GitHub classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.0, e o registro informa que ele foi corrigido na 2.1.57. O catálogo KEV da CISA não lista a falha e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O LobeHub é uma plataforma para criar e coordenar agentes de IA que atuam como colaboradores. Segundo o GitHub Security Advisory citado no registro, as versões anteriores à 2.1.57 contêm uma falha de Server-Side Request Forgery (CWE-918) no endpoint /webapi/proxy de app.lobehub.com.
Impacto
O registro informa que o endpoint busca, do lado do servidor e sem autenticação, uma URL enviada no corpo da requisição POST. As consequências descritas incluem requisições de saída a partir da infraestrutura do LobeHub, exposição de detalhes de implantação na Vercel e injeção de cookies no domínio lobehub.com por meio de cabeçalhos Set-Cookie refletidos. O CNA do GitHub informa pontuação base CVSS 3.1 de 9.0, com severidade crítica.
Produtos e versões afetadas
- Produto: LobeHub, endpoint /webapi/proxy em app.lobehub.com.
- Versões descritas como afetadas: todas as versões anteriores à 2.1.57.
- Versão corrigida: 2.1.57, conforme a descrição.
- Os campos estruturados de afetados e correções do registro estão vazios, por isso o aviso deve ser consultado diretamente.
Status de exploração
Esta CVE não aparece na lista do catálogo KEV da CISA no registro. Não há exploração confirmada na natureza nas fontes consultadas. Não há dados de EPSS disponíveis.
Correção e mitigação
- Atualize o LobeHub para a versão 2.1.57 ou superior.
- Se a atualização for adiada, restrinja o acesso ao endpoint de proxy na camada de rede ou gateway e limite o tráfego de saída dos servidores de aplicação.
- Revise o tratamento de cookies e de cabeçalhos Set-Cookie no domínio lobehub.com.
Orientações de detecção
- Analise os logs web e de aplicação em busca de requisições POST incomuns para /webapi/proxy vindas de origens desconhecidas.
- Monitore conexões de saída dos servidores de aplicação para destinos inesperados, incluindo faixas de endereços internos.
- Observe cabeçalhos Set-Cookie inesperados nas respostas do serviço.
Limitações das informações disponíveis
- O vetor CVSS do registro inclui PR:H (privilégios altos exigidos), enquanto a descrição diz que não é necessária autenticação. Esse conflito deve ser resolvido com base no aviso.
- Foram consultados apenas o aviso do GitHub e as páginas do NVD e do CVE.org, sem análise técnica independente disponível.
- O registro não informa se detalhes de implantação ou o comportamento de cookies ficam expostos em configurações padrão.
Perguntas frequentes
Quais versões do LobeHub são afetadas pela CVE-2026-54157?
O registro descreve as versões anteriores à 2.1.57 como afetadas. O campo estruturado de produtos afetados está vazio, então o aviso do GitHub deve ser consultado para detalhes.
A CVE-2026-54157 está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O status deve ser reavaliado com o tempo.
Qual é a ação recomendada?
Atualize o LobeHub para a versão 2.1.57 ou superior. Se isso for adiado, restrinja o acesso ao endpoint e limite o tráfego de saída dos servidores de aplicação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.