CVE-2026-55255

Nome do Software Vulnerável e Versões Afetadas Langflow versões anteriores a 1.9.1

Description Um problema de Referência Direta a Objeto Insegura (IDOR) existe no endpoint /api/v1/responses. Isso ocorre porque a função get flow by id or endpoint name() não verifica se o usuário autenticado é o proprietário do fluxo quando este é acessado via UUID. Um invasor autenticado pode executar qualquer fluxo pertencente a outro usuário ao especificar o ID do fluxo da vítima no parâmetro model. Isso pode levar à execução de fluxos de trabalho não autorizados, consumo de recursos de outros usuários e acesso a dados sensíveis processados por esses fluxos.

Recommendations Atualize o Langflow para a versão 1.9.1 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint /api/v1/responses apenas a usuários confiáveis.