PT-2026-50139

CVE-2026-33760

تاريخ النشر

2026-06-16

تاريخ التحديث

2026-06-24

الوصف من

CVSS 3.1

8.8

عالية

المقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Langflow الأقدم من 1.9.0

الوصف

يُتيح موجه /api/v1/monitor سبع نقاط نهاية تسمح بعمليات القراءة والكتابة والحذف على الموارد المملوكة للمستخدم، بما في ذلك الرسائل والجلسات ومخرجات البناء وسجلات معاملات نماذج اللغة الكبيرة (LLM). يفشل النظام في التحقق مما إذا كان الطالب المصادق عليه يمتلك المورد المستهدف، مما يؤدي إلى ثغرة «الإشارة المباشرة غير الآمنة إلى الكائن» (IDOR)، والمعروفة أيضًا باسم «التفويض المكسور على مستوى الكائن» (BOLA). يمكن للمستخدم المصادق عليه قراءة بيانات مستخدم آخر أو تعديلها أو إعادة تسميتها أو حذفها نهائيًا من خلال تقديم معرّف المورد المستهدف أو flow id.

تشمل التفاصيل الفنية نقاط النهاية المعرضة للخطر التالية:

’GET /api/v1/monitor/builds‘ و ’DELETE /api/v1/monitor/builds‘ باستخدام المتغير flow id.
’DELETE /api/v1/monitor/messages‘ باستخدام المتغير message ids.
’PUT /api/v1/monitor/messages/{message id}‘ باستخدام المتغير message id.
’PATCH /api/v1/monitor/messages/session/{old session id}‘ باستخدام المتغير old session id.
’DELETE /api/v1/monitor/messages/session/{session id}‘ باستخدام المتغير session id.
’GET /api/v1/monitor/transactions‘ باستخدام المتغير flow id.