PT-2025-49321
CVE-2025-34291
·
تاريخ النشر
2025-12-05
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Langflow الأقدم من 1.7.0
الوصف
تسمح سلسلة من الثغرات بالاستيلاء على الحساب وتنفيذ التعليمات البرمجية عن بُعد. إن إعدادات مشاركة الموارد عبر الأصول (CORS) المفرطة في السماح، حيث يتم تعيين
allow origins على ’*‘ وallow credentials على True، إلى جانب ملف تعريف ارتباط رمز التحديث المُعد كـ SameSite=None، تسمح لصفحة ويب ضارة بتنفيذ طلبات عبر الأصول تتضمن بيانات اعتماد. وهذا يسمح لمصدر يتحكم فيه المهاجم باستدعاء نقطة نهاية التحديث والحصول على أزواج جديدة من access token وrefresh token لجلسة الضحية. توفر هذه الرموز الوصول إلى نقاط النهاية المصادق عليها، بما في ذلك وظيفة تنفيذ التعليمات البرمجية المدمجة، مما يسمح للمهاجم بتنفيذ تعليمات برمجية تعسفية والسيطرة الكاملة على النظام. وقد تم استغلال هذه المشكلة بشكل نشط في الواقع.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.6.9 لحل المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾