FICHE CVE
CVE-2026-33265
Publiée le 2026-03-18 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
La version 0.8.1-rc2 de LibreChat permet à tout utilisateur authentifié d'obtenir des jetons JSON Web Tokens (JWT) pour l'API principale et l'API RAG. Un attaquant disposant d'un compte standard peut utiliser ces jetons pour accéder sans autorisation à des données ou modifier des paramètres sur l'ensemble de ces services. Cette faille est facile à exploiter et nécessite uniquement un identifiant d'utilisateur valide et un accès local au système.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueLocal
Complexité d'attaqueFaible
Privilèges requisFaibles
Interaction utilisateurAucune
PortéeModifiée
Impact sur la confidentialitéFaible
Impact sur l'intégritéFaible
Impact sur la disponibilitéFaible
RÉFÉRENCES
Description officielle du NVD (en anglais)
In LibreChat 0.8.1-rc2, a logged-in user obtains a JWT for both the LibreChat API and the RAG API.