CVE-2026-23835

LobeHub açıq mənbəli insan və AI agent şəbəkəsidir. Versiya 1.143.3-dən əvvəl, `Knowledge Base > File Upload` bölməsindəki fayl yükləmə funksiyası yükləmə sorğusunun dürüstlüyünü yoxlamır ki, bu da istifadəçilərə sorğu parametrlərini tutmağa və dəyişdirməyə imkan verir. Nəticədə, anormal və ya nəzərdə tutulmayan yollarda ixtiyari faylların yaradılması mümkündür. Bundan əlavə, `lobechat.com` fayl istifadəsini hesablamaq üçün sorğudakı ölçü parametrindən asılı olduğu üçün hücumçu bu dəyəri manipulyasiya edərək faktiki fayl ölçüsünü yanlış təqdim edə bilər; məsələn, `1 GB`-lıq faylı yükləyib onu `10 MB` kimi bildirə və ya `10 MB`-lıq faylı yalançı şəkildə `1 GB` kimi bəyan edə bilər. Müştəri yükləmə sorğusunda təqdim olunan ölçü dəyərini manipulyasiya etməklə, server tərəfindən tətbiq edilən aylıq yükləmə kvotasından yan keçmək və nəzərdə tutulan yaddaş və trafik limitlərini aşaraq davamlı olaraq fayllar yükləmək mümkündür. Bu sui-istifadə faktiki resurs istehlakı ilə ödəniş hesablamaları arasında uyğunsuzluğa səbəb ola bilər ki, bu da xidmət operatoruna birbaşa maliyyə təsiri göstərir. Əlavə olaraq, yaddaşın və ya əlaqəli resursların tükənməsi xidmətin əlçatanlığının pisləşməsinə, o cümlədən yükləmələrin uğursuz olmasına, məzmun çatdırılmasının gecikməsinə və ya qanuni istifadəçilər üçün yükləmə funksiyasının müvəqqəti dayandırılmasına səbəb ola bilər. Tək bir zərərli istifadəçi eyni abunəlik planını paylaşan digər istifadəçilərə və ya layihələrə mənfi təsir göstərərək effektiv şəkildə dolayı xidmətdən imtina (DoS) yarada bilər. Bundan əlavə, həddindən artıq və uçota alınmamış yükləmələr monitorinq metrikalarını təhrif edə və ehtiyat nüsxələmə prosesləri, zərərli proqramların skan edilməsi və media emalı boru kəmərləri kimi aşağı axın sistemlərini yükləyə bilər ki, bu da sonda ümumi əməliyyat sabitliyini və xidmət etibarlılığını sarsıdır. Versiya 1.143.3 bu problem üçün düzəliş (patch) ehtiva edir.