Apa yang terjadi
VulnCheck memublikasikan (2026-10-18) bahwa LobsterAI mengenkripsi kunci API penyedia yang diekspor dengan rahasia hardcoded 'lobsterai-APP', memungkinkan siapa pun dengan file ekspor menurunkan kunci dan mendekripsi setiap kunci API penyedia AI yang tersimpan. CVSS 5.5 (v3.1) / 6.8 (v4.0), CWE-321.
Mengapa penting
Entitas penampil lokal yang mendapatkan konfigurasi yang diekspor dapat memulihkan kunci API mentah yang digunakan untuk menagih penggunaan penyedia AI, memungkinkan pengambilalihan akun dan penyalahgunaan biaya pada akun LLM korban.
Vektor serangan
Kunci API penyedia dienkripsi dengan kata sandi konstan 'lobsterai-APP'. Penyerang dengan file ekspor penyedia menurunkan kunci AES-GCM melalui PBKDF2 menggunakan salt yang tertanam (CWE-321 hardcoded password) dan memulihkan setiap kunci API penyedia AI pihak ketiga yang tersimpan.
Sistem yang terdampak
netease-youdao LobsterAI sebelum 2026.10.16
Mitigasi
Tingkatkan ke LobsterAI 2026.10.16 (perbaikan commit 1eb28c40d7e42d6cbade07874e6f6c068b6a9a64) dan putar kunci penyedia yang diekspor.