CVE-2026-41487 in Langfuse
Zusammenfassung
von VulDB • 14.05.2026
Langfuse ist eine Open-Source-Plattform für das Engineering von Large Language Models (LLMs). Ab Version 3.68.0 bis vor Version 3.167.0 besteht ein Fehler in der rollenbasierten Zugriffskontrolle (RBAC) im Ablauf zum Aktualisieren von LLM-Verbindungen. Ein authentifizierter Benutzer mit niedrigen Berechtigungen und der Rolle „Member“ in einem Projekt konnte die Aktualisierung einer bestehenden LLM-Verbindung auf eine vom Angreifer kontrollierte baseUrl anfordern, wodurch Langfuse das gespeicherte Anbietergeheimnis erneut verwendet und die Testanfrage an einen vom Angreifer kontrollierten Endpunkt umleitete. Dies könnte den Klartext-API-Schlüssel des LLM-Anbieters für diese Verbindung offenlegen. Der Angriff ist nur möglich, wenn ein Benutzer bereits Teil eines Projekts ist und über auf das Projekt beschränkte Zugriffsrechte („Member“) verfügt. Dieses Problem wurde in Version 3.167.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.