CVE-2026-10564
Açıklama
IBM Langflow OSS 1.0.0 ile 1.9.6 sürümleri arasında bir Sunucu Taraflı İstek Sahteciliği (SSRF) bulunmaktadır. rss.py dosyasındaki eski RSSReaderComponent ve searxng.py dosyasındaki SearXNG bileşeni, kullanıcı kontrollü URL'lere doğrulanmamış HTTP istekleri yaparak sürüm 1.9.3 ile getirilen SSRF korumalarını atlamaktadır. Kimliği doğrulanmış bir saldırgan, bunu bulut meta veri servisleri (AWS/Azure/GCP IMDS) dahil olmak üzere dahili kaynaklara erişmek için kullanabilir; bu durum potansiyel olarak IAM kimlik bilgilerinin sızdırılmasına ve dahili ağların numaralandırılmasına yol açabilir. Zafiyet, tool_mode=True maruziyeti nedeniyle ajan tabanlı iş akışlarındaki istem enjeksiyonu (prompt injection) yoluyla da tetiklenebilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langflow langflow | 1.0.0 ≤ v ≤ 1.9.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.