CVE-2026-24055 in Langfuse
Resumen
por VulDB • 2026-06-08
Langfuse es una plataforma de ingeniería de modelos de lenguaje grande (LLM) de código abierto. En las versiones 3.146.0 y anteriores, el endpoint /api/public/slack/install inicia OAuth de Slack utilizando un projectId proporcionado por el cliente sin autenticación ni autorización. El projectId se conserva durante todo el flujo de OAuth, y la callback almacena las instalaciones basándose en estos metadatos no confiables. Esto permite a un atacante vincular su espacio de trabajo de Slack a cualquier proyecto y potencialmente recibir cambios en los prompts almacenados en Langfuse Prompt Management. Un atacante puede reemplazar las integraciones existentes de Slack Automation para Prompts o pre-registrar una maliciosa, aunque esta última requiere que un usuario autenticado la configure sin saberlo, a pesar de los indicadores visibles de espacio de trabajo y canal en la interfaz de usuario. Este problema ha sido corregido en la versión 3.147.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.