CVE-2026-24055

Nome do Software Vulnerável e Versões Afetadas Versões do Langfuse 3.146.0 e inferiores

Descrição O Langfuse é uma plataforma de engenharia de modelos de linguagem de grande porte de código aberto. O endpoint /api/public/slack/install inicia o OAuth do Slack usando um projectId fornecido pelo cliente sem autenticação ou autorização. O projectId é preservado durante todo o fluxo OAuth, e o callback armazena as instalações com base nestes metadados não confiáveis. Isso permite que um atacante vincule seu workspace do Slack a qualquer projeto e potencialmente receba alterações nos prompts armazenados no Langfuse Prompt Management. Um atacante pode substituir integrações existentes do Prompt Slack Automation ou pré-registrar uma maliciosa, embora esta última exija que um usuário autenticado a configure inadvertidamente, apesar dos indicadores visíveis de workspace e canal na interface do usuário.

Recomendações Atualize para a versão 3.147.0 ou posterior.