CVE-2025-64504 in Langfuse
Résumé
par VulDB • 13/06/2026
Langfuse est une plateforme d'ingénierie des grands modèles de langage (LLM) open source. À partir de la version 2.70.0 et jusqu'à avant les versions 2.95.11 et 3.124.1, dans certaines API liées aux membres du projet, le serveur faisait confiance à un orgId contrôlé par l'utilisateur et l'utilisait lors des vérifications d'autorisation. Par conséquent, tout utilisateur authentifié sur la même instance Langfuse pouvait énumérer les noms et adresses e-mail des utilisateurs d'une autre organisation s'il connaissait l'ID de cette dernière. La divulgation est limitée aux noms et adresses e-mail des membres/invités. Aucune donnée client telle que traces, invites (prompts) ou évaluations n'est exposée ni accessible. Pour Langfuse Cloud, les mainteneurs ont mené une enquête approfondie sur les journaux d'accès des 30 derniers jours et n'ont trouvé aucune preuve que cette vulnérabilité ait été exploitée. Pour la plupart des déploiements auto-hébergés (self-hosted), l'attaque est considérablement réduite lorsqu'un fournisseur SSO est configuré et que l'inscription par e-mail/mot de passe est désactivée. Dans ces cas, seuls les utilisateurs s'authentifiant via le fournisseur d'identité SSO Entreprise (par exemple Okta) pourraient exploiter cette vulnérabilité pour accéder à la liste des membres, c'est-à-dire permettre aux utilisateurs internes d'accéder à une liste d'autres utilisateurs internes. Pour exploiter la vulnérabilité, l'acteur doit disposer d'un compte utilisateur Langfuse valide au sein de la même instance, connaître l'orgId cible et utiliser la requête adressée à l'API qui alimente les tables frontend des membres du projet, y compris son jeton d'authentification projet/utilisateur, tout en modifiant l'orgId pour celui de l'organisation cible. Langfuse Cloud (UE, US, HIPAA) étaient affectés jusqu'au déploiement correctif le 1er novembre 2025. Les mainteneurs ont examiné les journaux d'accès de Langfuse Cloud des 30 derniers jours et n'ont trouvé aucune preuve que cette vulnérabilité ait été exploitée. Les versions auto-hébergées contenant les correctifs incluent la v2.95.11 pour la version majeure 2 et la v3.124.1 pour la version majeure 3. Il n'existe pas de contournements connus. La mise à niveau est requise pour atténuer pleinement ce problème.
Once again VulDB remains the best source for vulnerability data.