PT-2026-26771
CVE-2026-33484
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-24
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Langflow من 1.0.0 إلى 1.8.1
الوصف
تحتوي إصدارات Langflow من 1.0.0 إلى 1.8.1 على مشكلة تتمثل في أن نقطة نهاية واجهة برمجة التطبيقات (API)
/api/v1/files/images/{flow id}/{file name} تقدم ملفات الصور دون مصادقة أو التحقق من الملكية. سيتمكن أي طلب غير مصدق عليه يحتوي على قيمتين معروفتين لـ flow id وfile name من استرداد الصورة بنجاح، مع إرجاع استجابة HTTP 200. في بيئة متعددة المستأجرين، يمكن للمهاجم الذي يتمكن من اكتشاف أو تخمين قيمة flow id تنزيل الصور التي تم تحميلها بواسطة أي مستخدم دون الحصول على إذن. يُعد flow id معرّفًا فريدًا (UUID) قد يتم الكشف عنه من خلال استجابات واجهة برمجة التطبيقات (API) الأخرى. الوظيفة المعرضة للخطر هي download image الموجودة في src/backend/base/langflow/api/v1/files.py:138-164.التوصيات
الإصدارات السابقة للإصدار 1.9.0 متأثرة بهذه المشكلة. قم بالتحديث إلى الإصدار 1.9.0 أو أحدث لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾