CVE-2026-9130

Nome do Software Vulnerável e Versões Afetadas IBM Langflow OSS versões 1.0.0 through 1.10.3

Description Existe uma falha de bypass de autorização no MemoryComponent que permite que usuários autenticados acessem o histórico de chat de outros usuários por meio de colisão de session id. Os métodos retrieve messages() e store message() filtram pelo session id, mas não validam a propriedade do flow id ou user id. Isso possibilita a divulgação de informações entre usuários através dos seguintes endpoints de API autenticados: '/api/v1/run/', '/api/v1/responses' e '/api/v2/workflow/. Este problema afeta especificamente implantações multiusuário onde LANGFLOW AUTO LOGIN está definido como False.

Recommendations Atualize o IBM Langflow OSS para uma versão posterior à 1.10.3.