CVE-2026-24055 in Langfuse
Sumário
de VulDB • 08/06/2026
Langfuse é uma plataforma de engenharia de modelos de linguagem de grande escala (LLM) de código aberto. Nas versões 3.146.0 e anteriores, o endpoint /api/public/slack/install inicia o OAuth do Slack utilizando um projectId fornecido pelo cliente, sem autenticação ou autorização. O projectId é mantido durante todo o fluxo de OAuth, e o callback armazena as instalações com base neste metadata não confiável. Isso permite que um atacante vincule seu espaço de trabalho do Slack a qualquer projeto e potencialmente receba alterações em prompts armazenados no Gerenciamento de Prompts do Langfuse. Um atacante pode substituir integrações existentes de automação de prompts do Slack ou pré-registrar uma maliciosa, embora esta última exija que um usuário autenticado a configure sem saber, apesar dos indicadores visíveis de espaço de trabalho e canal na interface do usuário. Este problema foi corrigido na versão 3.147.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.