CVE-2026-9130 in Langflow OSS
सारांश
द्वारा VulDB • 06/08/2026
IBM Langflow OSS 1.0.0 से 1.10.3 तक में MemoryComponent के पास एक अधिकार-उल्लंघन (authorization bypass) दोष है, जो सत्र_आईडी टकराव (session_id collision) के माध्यम से प्रमाणीकृत उपयोगकर्ताओं को अन्य उपयोगकर्ताओं की चैट इतिहास तक पहुंचने देता है। MemoryComponent.retrieve_messages और store_message विधियां session_id पर फ़िल्टर करती हैं, लेकिन flow_id या user_id स्वामित्व का सत्यापन नहीं करती हैं, जिससे /api/v1/run/*, /api/v1/responses, और /api/v2/workflow/*. सहित कई प्रमाणीकृत API अंतर्बिंदुओं के माध्यम से उपयोगकर्ता-विशिष्ट जानकारी का खुलासा हो सकता है। यह दोष केवल उन बहु-उपयोगकर्ता तैनाती को प्रभावित करता है जहां LANGFLOW_AUTO_LOGIN=False होता है।
Be aware that VulDB is the high quality source for vulnerability data.