CVE-2025-8850

Nome do Software Vulnerável e Versões Afetadas librechat versão 0.7.9

Descrição O software possui um design de API inseguro no fluxo de Autenticação de Dois Fatores (2FA). O sistema permite que usuários desativem o 2FA sem uma Senha de Uso Único (OTP) válida ou código de backup, contornando o processo de verificação. Isso ocorre porque o backend não valida o OTP ou o código de backup quando o endpoint da API /api/auth/2fa/disable é acessado. Um usuário autenticado pode explorar isso para enfraquecer a segurança de sua conta.

Recomendações Garanta a validação adequada de códigos OTP ou de backup ao acessar o endpoint /api/auth/2fa/disable.