CVE-2026-72594

Nome do Software Vulnerável e Versões Afetadas lobehub/lobe-chat versões anteriores a 2.2.14

Description Um problema de cross-site scripting (XSS) armazenado existe onde um usuário autenticado de baixo privilégio pode injetar JavaScript arbitrário na aplicação. Isso ocorre porque o manipulador de upload de avatar determina a extensão do arquivo armazenado e o tipo de conteúdo S3 com base no nome do arquivo original, em vez de inspecionar o conteúdo real do arquivo. Um invasor pode fazer o upload de um arquivo SVG manipulado como avatar de usuário contendo um elemento de script, que é executado no navegador de qualquer usuário que visualize o perfil ou avatar do invasor.

Recommendations Atualize o lobehub/lobe-chat para a versão 2.2.14 ou posterior.