注目★★★★★GitHub Advisory
LobeHub: `/webapi/proxy` に認証なし SSRF 脆弱性 (CVE-2026-54157)
30秒で把握
- 1CVE-2026-54157: LobeHub `/webapi/proxy` に認証不要 SSRF 脆弱性を確認
- 2他 webapi ルートは checkAuth() 適用済みだがプロキシルートのみ未適用
- 3Vercel 情報漏洩・lobehub.com ドメインへのクッキーインジェクションが可能
要約
LobeHub の `/webapi/proxy` エンドポイントに認証不要の SSRF 脆弱性 (CVE-2026-54157、CWE-918) が確認された。攻撃者は認証なしで POST リクエストを送るだけで、LobeHub インフラ経由で任意の外部 URL へのアウトバウンドリクエストを発生させられる。他の `/webapi/` ルートはすべて `checkAuth()` でラップされているが、`/webapi/proxy` だけ未適用であり、Next.js ミドルウェアも `/webapi/` パスをスキップする設計のため二重に素通しとなっている。悪用されると Vercel デプロイ情報の漏洩や `lobehub.com` ドメインへのクッキーインジェクションが可能になる。
あなたへの影響
LobeHub をセルフホストまたは app.lobehub.com 経由で利用しているチームは、`/webapi/proxy` エンドポイントへのアクセスをファイアウォールや WAF で制限するか、修正パッチの適用を確認することを優先すべき。
推奨：同種の `/api/proxy` は CVE-2024-32964 で修正済みだが `/webapi/proxy` は今回まで未対処のため、類似エンドポイントの全棚卸しも合わせて実施するとよい。