JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-009511 LibreChatは追加機能を備えたChatGPTのクローンです。バージョン0.8.2-rc2から0.8.2-rc3までの間、SSEストリーミングエンドポイント`/api/agents/chat/stream/:streamId`は、リクエストしたユーザーがストリームの所有者であることを検証しません。認証された任意のユーザーが有効なストリームIDを取得または推測すると、他のユーザーのリアルタイムのチャット内容（メッセージ、AIの応答、ツールの呼び出しを含む）を購読し閲覧できてしまいます。この問題はバージョン0.8.2で修正されています。 cpe:/a:librechat:librechat https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-009511.html Common Vulnerabilities and Exposures (CVE) CVE-2026-31950 https://www.cve.org/CVERecord?id=CVE-2026-31950 National Vulnerability Database (NVD) CVE-2026-31950 https://nvd.nist.gov/vuln/detail/CVE-2026-31950 GitHub IDOR in SSE Stream Subscription Allows Reading Other Users' Chats Advisory danny-avila/LibreChat GitHub https://github.com/danny-avila/LibreChat/security/advisories/GHSA-f6rf-vm44-wh5g JVNDB CWE-639 https://cwe.mitre.org/data/definitions/639.html JVNDB CWE-284 https://cwe.mitre.org/data/definitions/284.html 2026-04-01T11:32:37+09:00 2026-04-01T11:32:37+09:00