CVE-2025-8849: LibreChat DoS via Unbounded Parameters

重要な脆弱性情報 脆弱性タイトル danny-avila/librechat における無制限のパラメータ値によるサービス妨害（Denial of Service） 報告日時 2025年8月2日 脆弱性情報 CVE: CVE-2025-8849 脆弱性タイプ: CWE-400: 資源消費型サービス妨害 重大度: 中 (5.4) 影響バージョン: 0.7.9 公開範囲: 公開 状態: 修正済み 説明 LibreChat の エンドポイントは、 パラメータおよび パラメータに対して不当に大きな値を受信しており、これらの値は適切に検証されていません。その結果、10億文字（約100 crore）を超える文字数が入力されると、500 Internal Server Error が発生します。 サーバーを再起動するまでユーザー/管理者は新しいメモリの作成ができず、この機能に対してサービス妨害（DoS）が発生し、バックエンドの安定性にも影響を及ぼす可能性があります。 脆弱性利用スクリプト 影響 攻撃者は、大きな および パラメータを持つ送信リクエストを意図的に作成して悪用し、Rust ベースのサービスをクラッシュさせて、メモリ作成機能を使用不可にできます。 緩和策 文字数制限を含む厳格な入力検証を実装する（例：key ≤ 1000文字、value ≤ 10000文字）。 Rust の安全性メカニズムと適切なエラー処理を使用して、ヌルポインタ参照を回避する。 発見者 Akshay Ravi 修正者 Danny Avila 発生位置 修正コミット コミット: edf33bedcbb08c33e59df76f06454ed7efd896f9 v0.8.0-rc2 で修正済み

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2025-8849: LibreChat DoS via Unbounded Parameters

目標達成すべての支援者に感謝 — 100%達成しました！