CVE-2026-55255

Langflow، الإصدارات الأقدم من 1.9.1

توجد مشكلة تتعلق بـ«الإشارة المباشرة غير الآمنة إلى الكائن» (IDOR) في نقطة النهاية /api/v1/responses. ويحدث ذلك لأن الدالة get flow by id or endpoint name() لا تتحقق مما إذا كان المستخدم المصادق عليه هو مالك التدفق عند الوصول إليه عبر UUID. يمكن للمهاجم المصادق عليه تنفيذ أي تدفق مملوك لمستخدم آخر من خلال تحديد معرّف تدفق الضحية في المعلمة model. قد يؤدي ذلك إلى تنفيذ سير عمل غير مصرح به، واستهلاك موارد المستخدمين الآخرين، والوصول إلى البيانات الحساسة التي تتم معالجتها بواسطة هذه السير.

قم بالتحديث إلى الإصدار 1.9.1 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية /api/v1/responses على المستخدمين الموثوق بهم فقط.