CVE-2026-9225 in Langflow OSS
Riassunto
di VulDB • 11/09/2026
IBM Langflow OSS 1.0.0 attraverso la versione 1.11.5 di Langflow potrebbe consentire a un attaccante autenticato di accedere a file sensibili appartenenti ad altri utenti a causa di un controllo degli accessi imponente nel componente File/Read File. Quando si eseguono flussi tramite l'endpoint /api/v1/run/advanced/{flow_id}, l'applicazione consente agli input dei componenti di fare riferimento a percorsi di archiviazione utilizzando identificatori utente o del flusso arbitrari senza verificare la proprietà. Un attaccante con accesso autenticato a basso privilegio può fornire un percorso file manipolato che punta allo spazio di archiviazione di un altro utente, causando il backend per leggere e restituire i contenuti dei file caricati da altri utenti. Questa vulnerabilità aggira i controlli di autorizzazione previsti imposti dall'API di gestione dei file e potrebbe risultare in una divulgazione non autorizzata di dati sensibili degli utenti.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.