CVE-2025-7106

Nome do Software Vulnerável e Versões Afetadas versões do librechat anteriores à correção

Descrição Existe uma bypass de autorização devido a verificações de controle de acesso incorretas. A função checkAccess em api/server/middleware/roles/access.js utiliza permissions.some() para validação de permissão, o que concede acesso indevidamente quando apenas uma de várias permissões necessárias está presente. Isso permite que usuários com a função 'USER' realizem ações, como criar agentes, mesmo que não possuam permissões específicas como CREATE: false. O problema afeta outras verificações de permissão, incluindo as relativas a PROMPTS. A função vulnerável é checkAccess. O parâmetro vulnerável é permissions.

Recomendações Atualize para uma versão do librechat que corrija esta bypass de autorização.