PT-2026-49342
CVE-2026-48520
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-07-01
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Langflow الأقدم من 1.10.0
الوصف
تتيح ميزة «Shareable Playground»، المعروفة أيضًا باسم «Public Flows»، للمستخدمين غير المصادق عليهم تنفيذ سير العمل عبر رابط عام. ويسمح عيب في هذه الميزة بقراءة ملفات عشوائية اعتمادًا على تكوين سير العمل. وعلى وجه التحديد، تقبل نقطة النهاية ’/api/v1/build public tmp‘ معلمة
files تحتوي على قائمة بمسارات الملفات. يمكن أن تكون هذه المسارات ملفات محلية أو مسارات S3، والتي يتم قراءتها بعد ذلك بواسطة الدالة to lc message داخل LCModelComponent. get chat result وتُغذى إلى نموذج اللغة الكبير (LLM) كصور. تعتمد القدرة على استرداد محتويات الملف على تكوين نموذج اللغة الكبير (LLM) المحدد المستخدم.التوصيات
قم بالتحديث إلى الإصدار 1.10.0.
كحل مؤقت، قم بتعطيل ميزة «Shareable Playground» لمنع المستخدمين غير المصادق عليهم من تنفيذ التدفقات العامة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾