CVE-2026-55447

إصدارات Langflow الأقدم من 1.9.2

توجد مشكلة في المكونات المستندة إلى BaseFileComponent، بما في ذلك Docling (DoclingInlineComponent) وDocling Serve (DoclingRemoteComponent) وRead File (FileComponent) وNVIDIA Retriever Extraction (NvidiaIngestComponent) وVideo File (VideoFileComponent) وUnstructured API (UnstructuredComponent). تفشل الدالة unpack bundle() الموجودة في langflow/src/lfx/src/lfx/base/data/base file.py في التحقق من صحة الملفات بشكل صحيح أثناء استخراج ملفات TAR، مما يسمح بمعالجة الروابط الرمزية. يمكن للمهاجم توفير ملف TAR مُعد خصيصًا يحتوي على روابط رمزية إلى مسارات مطلقة في نظام الملفات، مما يوجه العقدة لقراءة ملفات عشوائية. قد يؤدي ذلك إلى الكشف عن معلومات حساسة، مثل secret key المستخدم في رموز JWT، مما قد يسمح للمهاجم لاحقًا بتجاوز المصادقة وتنفيذ التعليمات البرمجية عن بُعد عن طريق إنشاء تدفق باستخدام عقدة Python Interpreter.

قم بالتحديث إلى الإصدار 1.9.2 أو أحدث.

كحل مؤقت، قم بتقييد استخدام المكونات المستندة إلى BaseFileComponent عند معالجة البيانات التي يتحكم فيها المستخدم.