Apa yang terjadi
CVE-2026-111704 (CVSS 9.8, CWE-306) diverifikasi melalui NVD REST API (dipublikasikan 2026-10-16 oleh VulnCheck): REST controller LangChat dapat dijangkau tanpa autentikasi karena tidak ada interceptor autentikasi Sa-Token yang terdaftar, memungkinkan penyerang jarak jauh membaca kata sandi pengguna teks biasa, mengambil kunci API penyedia LLM, membuat akun super-admin, dan memodifikasi/menghapus data.
Mengapa penting
Kompromi tanpa autentikasi total dari gateway obrolan/agen LLM: pengungkapan penuh kredensial setiap pengguna dan setiap kunci API penyedia LLM hulu. Penyerang dapat membakar kuota OpenAI/Anthropic/dll korban, menyamar sebagai pengguna mana pun, dan membaca semua percakapan AI. Ini adalah pola paparan kredensial model yang paling penting bagi deployment AI.
Vektor serangan
Tidak ada interceptor Sa-Token yang terdaftar di REST controller; permintaan tanpa autentikasi ke /api/v1/auth/users mengembalikan kata sandi teks biasa, /api/v1/auth/* memungkinkan pembuatan akun super-admin, dan kunci API penyedia LLM yang tersimpan dapat diambil.
Sistem yang terdampak
LangChat ≤ commit 2a6285a (github.com/LangChat/langchat)
Mitigasi
Tingkatkan versi melewati commit yang terpengaruh; pastikan interceptor autentikasi mencakup semua REST controller dan rotasi kunci/kredensial penyedia LLM yang terekspos. Lihat advisory VulnCheck dan referensi AigcUserController.