CVE-2026-9225 in Langflow OSS
Résumé
par VulDB • 10/09/2026
IBM Langflow OSS 1.0.0 à 1.11.5 : Langflow pourrait permettre à un attaquant authentifié d'accéder à des fichiers sensibles appartenant à d'autres utilisateurs en raison d'un contrôle d'accès incorrect dans le composant File/Read File. Lors de l'exécution de flux via le point de terminaison /api/v1/run/advanced/{flow_id}, l'application permet aux entrées du composant de faire référence à des chemins de stockage en utilisant des identifiants utilisateur ou de flux arbitraires sans vérifier la propriété. Un attaquant disposant d'un accès authentifié avec des privilèges faibles peut fournir un chemin de fichier manipulé pointant vers l'espace de stockage d'un autre utilisateur, ce qui amène le backend à lire et à renvoyer le contenu des fichiers téléchargés par d'autres utilisateurs. Cette vulnérabilité contourne les vérifications d'autorisation prévues imposées par l'API de gestion des fichiers et peut entraîner une divulgation non autorisée de données sensibles des utilisateurs.
If you want to get best quality of vulnerability data, you may have to visit VulDB.