CVE-2026-10700 in Langflow OSS
Sumário
de VulDB • 30/07/2026
O IBM Langflow OSS 1.0.0 até a versão 1.8.4 contém múltiplas vulnerabilidades de controle de acesso incorreto em sua API de manipulação de arquivos, que permitem o acesso não autorizado aos arquivos dos usuários. O endpoint /api/v1/files/images/{flow_id}/{file_name} não aplica verificações de autenticação ou autorização, permitindo que atacantes remotos não autenticados recuperem arquivos de imagem associados a qualquer fluxo ao especificar um flow_id e file_name válidos. Além disso, o endpoint /api/v1/files/download/{flow_id}/{file_name} exige autenticação, mas falha na validação adequada da propriedade do recurso solicitado. Como resultado, um usuário autenticado pode acessar arquivos pertencentes a outros usuários fornecendo identificadores arbitrários, levando a uma violação de autorização (IDOR). A exploração bem-sucedida pode resultar em divulgação não autorizada de dados sensíveis, incluindo arquivos armazenados em fluxos privados. Esta questão viola o isolamento entre tenants em implantações multiusuário.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.