CVE-2026-33475

إصدارات Langflow الأقدم من 1.9.0

يُعتبر Langflow عرضة لمشكلة حقن أوامر شل عن بُعد دون مصادقة في سير عمل GitHub Actions. تنبع المشكلة من الاستيفاء غير المُعقّم لمتغيرات سياق GitHub، مثل ${{ github.head ref }}، ضمن خطوات run:. وهذا يسمح للمهاجمين بحقن وتنفيذ أوامر شل تعسفية عن طريق صياغة أسماء فروع أو عناوين طلبات سحب خبيثة. يمكن أن يؤدي الاستغلال الناجح إلى تسريب أسرار مثل GITHUB TOKEN، أو التلاعب بالبنية التحتية، أو اختراق سلسلة التوريد أثناء تنفيذ CI/CD. توجد الثغرة الأمنية في سير العمل الموجود في .github/workflows/ و.github/actions/، وتحديدًا في ملفات مثل action.yml وdeploy-docs-draft.yml وdocker-build.yml وrelease nightly.yml وpython test.yml وtypescript test.yml. لا تتورط نقاط نهاية واجهة برمجة التطبيقات (API) بشكل مباشر في هذه الثغرة الأمنية، ولكن سير عمل GitHub Actions يتم تشغيله بواسطة أحداث مرتبطة بإنشاء الفروع وطلبات السحب. المعلمات المعرضة للخطر هي متغيرات سياق GitHub، مثل github.head ref وgithub.event.pull request.title.

يجب تحديث الإصدارات الأقدم من 1.9.0 إلى الإصدار 1.9.0 أو أحدث.

إعادة هيكلة سير العمل المتأثر لاستخدام متغيرات البيئة ووضعها بين علامتي اقتباس مزدوجتين.

تجنب الاستيفاء المباشر ${{ ... }} داخل run: لأي قيمة يتحكم فيها المستخدم.