CVE-2026-58578

Nome do Software Vulnerável e Versões Afetadas LobeChat versões anteriores a 2.2.10-canary.15

Description Um invasor autenticado pode causar uma negação de serviço por expressão regular (ReDoS) ao fornecer um padrão de retrocesso catastrófico (catastrophic-backtracking) no caminho de uma URL de repositório do GitHub durante a importação de habilidades. Isso ocorre quando um valor basePath malicioso contendo metacaracteres de regex não escapados é injetado em uma expressão regular construída dinamicamente na função findSkillMd(). Como isso é executado sincronicamente contra entradas de arquivo, o loop de eventos do Node.js é bloqueado, negando o serviço a todos os usuários simultâneos por dezenas de segundos por requisição. O retrocesso catastrófico é uma condição em que o mecanismo de expressão regular leva um tempo exponencial para determinar que uma string não corresponde a um padrão.

Recommendations Atualize o LobeChat para a versão 2.2.10-canary.15 ou posterior.