PT-2026-68295
CVE-2026-9081
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات IBM Langflow OSS من 1.0.0 إلى 1.10.3
الوصف
توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في الدالة
validate model provider key() الخاصة بمزود Ollama. تقوم الدالة بمعالجة المعلمة OLLAMA BASE URL التي يزودها المستخدم وتمريرها إلى requests.get() دون التحقق من صحتها، أو إدراجها في قائمة المضيفين أو أنظمة الاتصال المسموح بها، أو تصفية نطاقات عناوين IP الخاصة، مثل عناوين loopback و RFC1918 وعناوين link-local. SSRF هي ثغرة تسمح للمهاجم بحث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود.التوصيات
تحديث IBM Langflow OSS إلى إصدار أحدث من 1.10.3.
كإجراء تخفيفي مؤقت، تقييد استخدام الدالة
validate model provider key() أو المعلمة OLLAMA BASE URL. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾