
【漏洞预警】LobeHub 爆高危漏洞,登录后能写任意文件并执行代码(CVE-2026-120315)
LobeChat 的 server-database 部署在写临时文件时,会把用户给的文件名直接拼进路径。已登录用户可以写到任意位置,覆盖启动脚本执行代码,或改坏关键文件让实例一直崩溃(CVE-2026-120315,CVSS 3.1 为 8.8)。修复从 2.1.49 起。请把 lobehub/lobehub 固定到 2.3.0。今天的 latest 与 2.3.0 是同一份镜像。旧名 lobehub/lobe-chat 没有 2.1.49 及以上标签,不要继续用它当补丁。
2026/11/2Docker漏洞预警
LobeHubLobeChat
