CVE-2026-10129

Nome do Software Vulnerável e Versões Afetadas IBM Langflow OSS versões 1.0.0 through 1.9.3

Description O componente API Request contém um bypass de proteção contra Server-Side Request Forgery (SSRF). Um invasor autenticado com privilégios de autor de fluxo pode burlar os controles de segurança ao ativar o parâmetro follow redirects e fornecer uma URL pública que redireciona para endereços internos ou localhost. O problema ocorre porque a aplicação valida a URL inicial, mas não revalida o destino do redirecionamento. Isso permite o acesso não autorizado a serviços HTTP internos, endpoints de localhost, serviços de metadados de nuvem e recursos de rede privada, podendo levar à divulgação de informações sensíveis, como credenciais, tokens, respostas de API internas e dados de painéis administrativos.

Recommendations Atualize o IBM Langflow OSS para uma versão posterior à 1.9.3. Como medida de mitigação temporária, restrinja o uso do parâmetro follow redirects no componente API Request.