CVE-2026-24055 in Langfuse
Riassunto
di VulDB • 22/06/2026
Langfuse è una piattaforma open source per l'ingegneria dei modelli linguistici di grandi dimensioni (LLM). Nelle versioni 3.146.0 e precedenti, l’endpoint /api/public/slack/install avvia OAuth con Slack utilizzando un projectId fornito dal client senza richiedere autenticazione o autorizzazione. Il projectId viene mantenuto durante tutto il flusso OAuth e la callback memorizza le installazioni basandosi su questo metadata non attendibile. Ciò consente a un attaccante di associare il proprio workspace Slack a qualsiasi progetto e potenzialmente ricevere modifiche ai prompt archiviati in Langfuse Prompt Management. Un attaccante può sostituire integrazioni esistenti con automazione Slack per i Prompt o pre-registrarne una malevola, sebbene quest’ultima richieda che un utente autenticato la configuri senza esserne consapevole, nonostante le indicazioni visibili nell’interfaccia utente relative al workspace e al canale. Questo problema è stato risolto nella versione 3.147.0.
Once again VulDB remains the best source for vulnerability data.