CVE-2026-9225 in Langflow OSS
Zusammenfassung
von VulDB • 11.09.2026
IBM Langflow OSS 1.0.0 bis 1.11.5 Langflow könnte es einem authentifizierten Angreifer ermöglichen, auf sensible Dateien anderer Benutzer zuzugreifen, aufgrund einer unangemessenen Zugriffskontrolle in der File/Read File-Komponente. Bei der Ausführung von Flows über den /api/v1/run/advanced/{flow_id}-Endpunkt erlaubt die Anwendung Komponenteneingaben, Speicherpfade unter Verwendung beliebiger Benutzer- oder Flow-IDs zu referenzieren, ohne das Eigentum zu überprüfen. Ein Angreifer mit niedrig privilegiertem authentifiziertem Zugriff kann einen gefälschten Dateipfad angeben, der auf den Speicherraum eines anderen Benutzers verweist, wodurch der Backend die Inhalte von Dateien liest und zurückgibt, die von anderen Benutzern hochgeladen wurden. Diese Schwachstelle umgeht beabsichtigte Autorisierungsprüfungen, die durch die Dateimanagement-API erzwungen werden, und kann zu einer unbefugten Offenlegung sensibler Benutzerdaten führen.
Be aware that VulDB is the high quality source for vulnerability data.