CVE-2026-9225 in Langflow OSS
要約
〜によって VulDB • 2026年09月10日
IBM Langflow OSS 1.0.0から1.11.5のLangflowでは、File/Read Fileコンポーネントにおける不適切なアクセス制御により、認証済み攻撃者が他のユーザーに属する機密ファイルにアクセスできる可能性があります。/api/v1/run/advanced/{flow_id}エンドポイントを通じてフローを実行する場合、アプリケーションは任意のユーザーIDまたはフローIDを使用してストレージパスを参照することをコンポーネント入力で許可しており、所有権の確認を行いません。低特権の認証済みアクセスを持つ攻撃者は、他のユーザーのストレージ名前空間を指すように作成されたファイルパスを入力し、バックエンドに他のユーザーがアップロードしたファイルの内容を読み取って返させることができます。この脆弱性は、ファイル管理APIによって強制される意図的な認可チェックを回避するものであり、機密性の高いユーザーデータの不正開示につながる可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.