CVE-2026-54036

Nome do Software Vulnerável e Versões Afetadas LibreChat versões anteriores a 0.8.4-rc1

Descrição Um usuário autenticado ou um invasor com uma sessão roubada pode acessar o endpoint 'GET /api/auth/2fa/enable' mesmo que a autenticação de dois fatores (2FA) já esteja ativa. Esta ação sobrescreve o segredo de Senha Única Temporária (TOTP) atual, gera novos códigos de backup e define a variável twoFactorEnabled como false sem exigir qualquer verificação. Consequentemente, um invasor com um token de sessão válido pode assumir o controle das configurações de 2FA e bloquear o usuário legítimo de sua própria conta.

Recomendações Atualize para a versão 0.8.4-rc1.