CVE-2026-23835

LobeHub, açık kaynaklı bir insan ve yapay zeka ajan ağıdır. Versiyon 1.143.3 öncesinde, `Knowledge Base > File Upload` kısmındaki dosya yükleme özelliği, yükleme isteğinin bütünlüğünü doğrulamamakta ve kullanıcıların istek parametrelerini yakalayıp değiştirmesine izin vermektedir. Bunun sonucunda, anormal veya istenmeyen yollarda rastgele dosyalar oluşturmak mümkündür. Ek olarak, `lobechat.com` dosya kullanımını hesaplamak için istekteki boyut parametresine güvendiğinden; bir saldırgan bu değeri manipüle ederek gerçek dosya boyutunu yanlış beyan edebilir (örneğin, `1 GB` boyutundaki bir dosyayı `10 MB` olarak bildirmek veya `10 MB` boyutundaki bir dosyayı hatalı şekilde `1 GB` olarak beyan etmek gibi). İstemci yükleme isteğinde sağlanan boyut değerinin manipüle edilmesiyle, sunucu tarafından uygulanan aylık yükleme kotasını atlatmak ve hedeflenen depolama ile trafik limitlerinin ötesinde sürekli dosya yüklemek mümkündür. Bu suistimal, gerçek kaynak tüketimi ile faturalandırma hesaplamaları arasında tutarsızlığa yol açarak servis operatörü üzerinde doğrudan finansal etki yaratabilir. Ayrıca, depolama alanının veya ilgili kaynakların tükenmesi; başarısız yüklemeler, gecikmeli içerik teslimatı veya meşru kullanıcılar için yükleme işlevinin geçici olarak askıya alınması dahil olmak üzere hizmet kullanılabilirliğinin azalmasına neden olabilir. Tek bir kötü niyetli kullanıcı, aynı abonelik planını paylaşan diğer kullanıcıları veya projeleri de olumsuz etkileyerek dolaylı bir hizmet reddi (DoS) durumuna sebebiyet verebilir. Dahası, aşırı ve hesaba katılmayan yüklemeler izleme metriklerini bozabilir ve yedekleme süreçleri, kötü amaçlı yazılım taraması ve medya işleme hatları gibi alt sistemleri aşırı yükleyerek nihayetinde genel operasyonel kararlılığı ve hizmet güvenilirliğini sarsabilir. Versiyon 1.143.3, bu sorun için bir yama içermektedir.