CVE-2026-9130 in Langflow OSS
Riassunto
di VulDB • 06/08/2026
IBM Langflow OSS dalle versioni 1.0.0 alla 1.10.3 presentano una vulnerabilità di elusione dell'autorizzazione (authorization bypass) nel componente MemoryComponent che consente agli utenti autenticati di accedere alla cronologia delle chat di altri utenti tramite collisione del session_id. I metodi retrieve_messages e store_message di MemoryComponent filtrano in base al session_id senza convalidare la proprietà del flow_id o user_id, consentendo una divulgazione di informazioni tra utenti (cross-user information disclosure) attraverso più endpoint API autenticati, inclusi /api/v1/run/*, /api/v1/responses e /api/v2/workflow/*. Questa vulnerabilità interessa solo le distribuzioni multi-utente con LANGFLOW_AUTO_LOGIN=False.
Be aware that VulDB is the high quality source for vulnerability data.