CVE-2026-9130 in Langflow OSS
الملخص
بحسب VulDB • 05/08/2026
تحتوي إصدارات IBM Langflow OSS من 1.0.0 حتى 1.10.3 على ثغرة تجاوز للتحكم في الصلاحيات (Authorization Bypass) داخل مكون الذاكرة (MemoryComponent)، مما يسمح للمستخدمين المصادق عليهم بالوصول إلى سجلات الدردشة الخاصة بمستخدمين آخرين عبر تصادم معرف الجلسة (session_id collision). تعتمد طريتا `retrieve_messages` و `store_message` في `MemoryComponent` على التصفية بناءً على `session_id` دون التحقق من ملكية `flow_id` أو `user_id`، مما يتيح تسريب معلومات بين المستخدمين عبر نقاط نهاية API متعددة المصادقة بما فيها `/api/v1/run/*` و `/api/v1/responses` و `/api/v2/workflow/*`. تؤثر هذه الثغرة فقط على عمليات النشر التي تدعم عدة مستخدمين (multi-user deployments) حيث تكون قيمة `LANGFLOW_AUTO_LOGIN=False`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.