PT-2026-66536
CVE-2026-10700
·
تاريخ النشر
2026-07-30
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات IBM Langflow OSS من 1.0.0 إلى 1.8.4
الوصف
تسمح مشكلات التحكم في الوصول المعيبة في واجهة برمجة التطبيقات (API) الخاصة بمعالجة الملفات بالوصول غير المصرح به إلى ملفات المستخدمين، مما يكسر عزل المستأجرين في عمليات النشر متعددة المستخدمين. تفتقر نقطة النهاية ’/api/v1/files/images/{flow id}/{file name}‘ إلى فحوصات المصادقة والتفويض، مما يمكّن المهاجمين عن بُعد غير المصادق عليهم من استرداد ملفات الصور باستخدام
flow id وfile name صالحين. علاوة على ذلك، تفشل نقطة النهاية ’/api/v1/files/download/{flow id}/{file name}‘ في التحقق من ملكية الموارد، مما يسمح للمستخدمين المصادق عليهم بتنفيذ «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) — وهي ثغرة أمنية تتيح فيها التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم — للوصول إلى الملفات الخاصة بمستخدمين آخرين عبر معرّفات عشوائية. وقد يؤدي ذلك إلى الكشف غير المصرح به عن البيانات الحساسة من التدفقات الخاصة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾