CVE-2026-9225
Təsvir
IBM Langflow OSS 1.0.0-dan 1.11.5-ə qədər versiyalarda, File/Read File komponentindəki yanlış giriş nəzarəti səbəbindən autentifikasiya olunmuş hücumçu digər istifadəçilərə məxsus həssas fayllara daxil ola bilər. /api/v1/run/advanced/{flow_id} son nöqtəsi vasitəsilə axınlar (flows) icra edilərkən, tətbiq komponent girişlərinin mülkiyyəti yoxlamadan ixtiyari istifadəçi və ya axın identifikatorları ilə yaddaş yollarına istinad etməsinə icazə verir. Aşağı imtiyazlı autentifikasiya olunmuş girişə malik olan hücumçu, digər istifadəçinin yaddaş ad sahəsinə (storage namespace) yönəlmiş xüsusi hazırlanmış fayl yolu təqdim edərək, backend-in digər istifadəçilər tərəfindən yüklənmiş faylların məzmununu oxumasını və qaytarmasını təmin edə bilər. Bu zəiflik fayl idarəetmə API-si tərəfindən tətbiq edilən avtorizasiya yoxlamalarını yan keçir və həssas istifadəçi məlumatlarının icazəsiz açıqlanmasına səbəb ola bilər.
Necə düzəltmək olar
- langflow langflow1.11.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langflow langflow | 1.0.0 ≤ v < 1.11.6 | 1.11.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.