CVE-2026-9225
Açıklama
IBM Langflow OSS 1.0.0 ile 1.11.5 sürümleri arasında, File/Read File bileşenindeki hatalı erişim kontrolü nedeniyle kimliği doğrulanmış bir saldırganın diğer kullanıcılara ait hassas dosyalara erişmesine izin verilebilir. Akışlar /api/v1/run/advanced/{flow_id} uç noktası üzerinden yürütülürken uygulama, sahipliği doğrulamadan bileşen girdilerinin rastgele kullanıcı veya akış tanımlayıcılarını kullanarak depolama yollarına referans vermesine izin verir. Düşük yetkili ve kimliği doğrulanmış bir saldırgan, başka bir kullanıcının depolama ad alanını işaret eden özel olarak hazırlanmış bir dosya yolu sağlayarak arka ucun diğer kullanıcılar tarafından yüklenen dosyaların içeriğini okumasına ve döndürmesine neden olabilir. Bu güvenlik açığı, dosya yönetim API'si tarafından uygulanan yetkilendirme kontrollerini atlatır ve hassas kullanıcı verilerinin yetkisiz ifşasına yol açabilir.
Nasıl düzeltilir
- langflow langflow1.11.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langflow langflow | 1.0.0 ≤ v < 1.11.6 | 1.11.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.