CVE-2026-9130
Açıklama
IBM Langflow OSS 1.0.0 ile 1.10.3 sürümleri arasında, MemoryComponent bileşeninde, kimliği doğrulanmış kullanıcıların session_id çakışması yoluyla diğer kullanıcıların sohbet geçmişine erişmesine olanak tanıyan bir yetkilendirme atlatma güvenlik açığı bulunmaktadır. MemoryComponent.retrieve_messages ve store_message yöntemleri, flow_id veya user_id sahipliğini doğrulamadan session_id üzerinde filtreleme yaparak /api/v1/run/*, /api/v1/responses ve /api/v2/workflow/* dahil olmak üzere birden fazla kimliği doğrulanmış API uç noktası aracılığıyla kullanıcılar arası bilgi ifşasına imkân vermektedir. Bu güvenlik açığı yalnızca LANGFLOW_AUTO_LOGIN=False olan çok kullanıcılı dağıtımları etkilemektedir.
Nasıl düzeltilir
- langflow langflow1.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langflow langflow | 1.0.0 ≤ v < 1.11.0 | 1.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.