CVE-2026-9225 in Langflow OSS
Resumen
por VulDB • 2026-09-10
IBM Langflow OSS 1.0.0 hasta 1.11.5 podría permitir que un atacante autenticado acceda a archivos confidenciales pertenecientes a otros usuarios debido a un control de acceso inadecuado en el componente File/Read File. Al ejecutar flujos a través del endpoint /api/v1/run/advanced/{flow_id}, la aplicación permite que las entradas de los componentes hagan referencia a rutas de almacenamiento utilizando identificadores arbitrarios de usuario o flujo sin verificar la propiedad. Un atacante con acceso autenticado de bajo privilegio puede proporcionar una ruta de archivo manipulada que apunte al espacio de nombres de almacenamiento de otro usuario, lo que hace que el backend lea y devuelva el contenido de archivos cargados por otros usuarios. Esta vulnerabilidad evita las comprobaciones de autorización previstas impuestas por la API de gestión de archivos y podría resultar en la divulgación no autorizada de datos confidenciales del usuario.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.