CVE-2026-33053

إصدارات Langflow الأقدم من 1.9.0

Langflow هي أداة لإنشاء ونشر الوكلاء وسير العمل المدعومين بالذكاء الاصطناعي. لا تقوم نقطة النهاية delete api key route()، التي تقبل معلمة المسار api key id، سوى بإجراء فحص مصادقة عام. لا تتحقق الدالة delete api key() مما إذا كان مفتاح واجهة برمجة التطبيقات (API) يخص المستخدم الحالي قبل حذفه. وهذا يسمح لمهاجم تمت مصادقته بتعداد وحذف مفاتيح واجهة برمجة التطبيقات (API) الخاصة بمستخدمين آخرين عن طريق تخمين أو اكتشاف معرّفات مفاتيح واجهة برمجة التطبيقات (API) الخاصة بهم، مما قد يؤدي إلى الاستيلاء على الحساب، وحجب الخدمة، وتعطيل عمليات التكامل. يوجد الكود المعرض للخطر في src/backend/base/langflow/api/v1/api key.py الأسطر 44-53. تسترد الدالة delete api key() في crud.py الأسطر 44-49 مفتاح API حسب المعرف وتحذفه دون التحقق من ملكيته.

تعديل نقطة النهاية والدالة delete api key:

تمرير current user إلى الدالة delete.

في delete api key()، التحقق من api key.user id == current user.id قبل الحذف.

إظهار خطأ 403 Forbidden إذا كان المستخدم لا يمتلك المفتاح.