CVE-2026-24055

إصدارات Langfuse 3.146.0 وما دونها

Langfuse هي منصة مفتوحة المصدر لهندسة نماذج اللغة واسعة النطاق. تقوم نقطة النهاية /api/public/slack/install بتشغيل OAuth الخاص بـ Slack باستخدام projectId مقدم من العميل دون مصادقة أو تفويض. يتم الاحتفاظ بـ projectId طوال مسار OAuth، ويقوم رد الاتصال (callback) بتخزين عمليات التثبيت استنادًا إلى هذه البيانات الوصفية غير الموثوقة. وهذا يسمح للمهاجم بربط مساحة عمل Slack الخاصة به بأي مشروع، ومن المحتمل أن يتلقى تغييرات في المطالبات المخزنة في Langfuse Prompt Management. يمكن للمهاجم استبدال تكاملات Prompt Slack Automation الحالية أو التسجيل المسبق لتكامل خبيث، على الرغم من أن الخيار الأخير يتطلب أن يقوم مستخدم مصادق عليه بتكوينه عن غير قصد، على الرغم من وجود مؤشرات واضحة لمساحة العمل والقناة في واجهة المستخدم.

قم بالتحديث إلى الإصدار 3.147.0 أو أحدث.