CVE-2026-24055 in Langfuse
الملخص
بحسب VulDB • 02/07/2026
Langfuse هي منصة هندسة النماذج اللغوية الكبيرة مفتوحة المصدر. في الإصدارات 3.146.0 وما دونها، يبدأ نقطة النهاية `/api/public/slack/install` عملية مصادقة Slack OAuth باستخدام `projectId` مقدم من العميل دون أي تحقق من الهوية أو تفويض. يتم الاحتفاظ بـ `projectId` طوال تدفق OAuth، وتخزن نقاط الاستدعاء (callbacks) التثبيتات بناءً على هذه البيانات الوصفية غير الموثوقة. يتيح ذلك لمهاجم ربط مساحة عمل Slack الخاصة به بأي مشروع، وقد يتلقى تغييرات في الأوامر المخزنة في إدارة أوامر Langfuse Prompt Management. يمكن للمهاجم استبدال تكاملات أتمتة Slack الحالية للأوامر المسجلة مسبقاً، أو تسجيل أحد ضار مسبقاً، على الرغم من أن الأمر الأخير يتطلب مستخدمًا موثقًا ليضبطه دون علم منه رغم وجود مؤشرات واضحة لمساحة العمل والقناة في واجهة المستخدم. تم إصلاح هذه المشكلة في الإصدار 3.147.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.