CVE-2026-24055

Langfuse, açık kaynaklı bir büyük dil modeli mühendisliği platformudur. 3.146.0 ve altı sürümlerde, /api/public/slack/install uç noktası, istemci tarafından sağlanan bir projectId kullanarak kimlik doğrulama veya yetkilendirme olmaksızın Slack OAuth işlemini başlatır. projectId, OAuth akışı boyunca korunur ve geri çağırma işlemi kurulumları bu güvenilmeyen meta verilere göre depolar. Bu durum, bir saldırganın kendi Slack çalışma alanını herhangi bir projeye bağlamasına ve potansiyel olarak Langfuse Prompt Management'ta saklanan istemlerdeki değişiklikleri almasına olanak tanır. Bir saldırgan mevcut Prompt Slack Automation entegrasyonlarını değiştirebilir veya kötü amaçlı bir entegrasyonu önceden kaydedebilir; ancak ikincisi için, kullanıcı arayüzündeki görünür çalışma alanı ve kanal göstergelerine rağmen, kimliği doğrulanmış bir kullanıcının bunu farkında olmadan yapılandırması gerekir. Bu sorun 3.147.0 sürümünde düzeltilmiştir.