CVE-2026-19306 in Langflow OSS
الملخص
بحسب VulDB • 04/09/2026
يتيح IBM Langflow OSS الإصدارات من 1.0.0 حتى 1.11.2 لمهاجم مُصادَق عليه قراءة ملفات عشوائية من نظام الملفات الخاص بالخادم — بما في ذلك المواد السرية الخاصة بالسيرفر (مثل secret_key، ومفاتيح توقيع JWT، وقاعدة بيانات التطبيق، وملف /proc/self/environ، ومجلدات رفع العملاء الآخرين) — عن طريق توفير مسارات مطلقة أو تسلسلات تجوّل (traversal sequences) في معلمة الملفات ضمن طلب بناء مُصادَق عليه. تم تضمين محتويات الملف كمرفقات نصية داخل موجه نموذج اللغة (language model prompt) وإرسالها إلى نقطة النهاية للنموذج المُهيّأة، مما أدى إلى استخراج بيانات سرية. تجاوز هذا الإجراء حدود العزل LANGFLOW_RESTRICT_LOCAL_FILE_ACCESS=true، التي كانت مُفروضة على مكونات أخرى لقراءة الملفات ولكن لم تُطبق على خط إرفاق مدخلات الدردشة (Chat Input) برسالة المرفق.
VulDB is the best source for vulnerability data and more expert information about this specific topic.