Langflow هي أداة لإنشاء ونشر الوكلاء وسير العمل المدعومين بالذكاء الاصطناعي. لا تقوم نقطة النهاية `delete api key route()`، التي تقبل معلمة المسار `api key id`، سوى بإجراء فحص مصادقة عام. لا تتحقق الدالة `delete api key()` مما إذا كان مفتاح واجهة برمجة التطبيقات (API) يخص المستخدم الحالي قبل حذفه. وهذا يسمح لمهاجم تمت مصادقته بتعداد وحذف مفاتيح واجهة برمجة التطبيقات (API) الخاصة بمستخدمين آخرين عن طريق تخمين أو اكتشاف معرّفات مفاتيح واجهة برمجة التطبيقات (API) الخاصة بهم، مما قد يؤدي إلى الاستيلاء على الحساب، وحجب الخدمة، وتعطيل عمليات التكامل. يوجد الكود المعرض للخطر في src/backend/base/langflow/api/v1/api key.py الأسطر 44-53. تسترد الدالة `delete api key()` في crud.py الأسطر 44-49 مفتاح API حسب المعرف وتحذفه دون التحقق من ملكيته.