CVE-2026-10700 in Langflow OSS
要約
〜によって VulDB • 2026年07月30日
IBM Langflow OSS 1.0.0から1.8.4には、ファイル処理APIにおける複数のアクセス制御の欠陥（Broken Access Control）が存在し、ユーザーファイルへの不正なアクセスを可能にします。/api/v1/files/images/{flow_id}/{file_name}エンドポイントは認証や認可チェックを実施しないため、攻撃者は有効なflow_idとfile_nameを指定することで、任意のフローに関連付けられた画像ファイルを認証なしで取得できます。さらに、/api/v1/files/download/{flow_id}/{file_name}エンドポイントでは認証は必要ですが、要求されたリソースの所有権が適切に検証されないため、認証済みユーザーが任意の識別子を供給して他のユーザーのファイルにアクセスすることが可能となり、認可回避（IDOR）につながります。この脆弱性を悪用されると、プライベートなフロー内に保存されているファイルを含む機密データの不正開示が発生する可能性があります。本問題はマルチユーザー環境におけるテナント分離を侵害します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.