PT-2026-46232
CVE-2026-48519
·
تاريخ النشر
2026-06-04
·
تاريخ التحديث
2026-07-17
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Langflow الأقدم من 1.9.2
الوصف
تتيح ميزة «Shareable Playground» (المعروفة أيضًا باسم «Public Flows») للمستخدمين غير المصادق عليهم تنفيذ سير العمل عبر رابط. يسمح ثغرة في نقطة النهاية ’/api/v1/build public tmp‘ للمهاجمين بتنفيذ تعليمات برمجية Python عشوائية على الخادم عن طريق إرسال حمولة JSON مصممة خصيصًا. تحدث هذه المشكلة لأن النظام يسمح بتوفير تعليمات برمجية Python مخصصة ضمن المتغير
data.nodes[X].data.node.template.code.value أثناء تنفيذ سير العمل. تم تحديد أكثر من 30,900 عملية نشر قد تكون متأثرة عبر FOFA. وقد يؤدي ذلك إلى اختراق كامل للنظام أو سرقة البيانات أو انقطاع الخدمة.التوصيات
قم بالتحديث إلى الإصدار 1.9.2.
كحل مؤقت، قم بتعطيل ميزة Shareable Playground لمنع الوصول غير المصادق عليه إلى نقطة النهاية المعرضة للخطر.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾