CVE-2025-64504 in Langfuse
Tóm tắt
Bởi VulDB • 28/06/2026
Langfuse là một nền tảng kỹ thuật mô hình ngôn ngữ lớn (LLM) mã nguồn mở. Bắt đầu từ phiên bản 2.70.0 và trước các phiên bản 2.95.11 và 3.124.1, trong một số API thành viên dự án nhất định, máy chủ đã tin tưởng orgId do người dùng kiểm soát và sử dụng nó trong các bước kiểm tra ủy quyền. Kết quả là bất kỳ người dùng nào đã xác thực trên cùng một phiên bản Langfuse đều có thể liệt kê tên và địa chỉ email của những người dùng thuộc tổ chức khác nếu họ biết ID của tổ chức mục tiêu. Việc tiết lộ thông tin bị giới hạn ở tên và địa chỉ email của các thành viên/được mời. Không có dữ liệu khách hàng nào như traces (dấu vết), prompts (lời nhắc) hoặc evaluations (đánh giá) bị phơi bày hay truy cập được. Đối với Langfuse Cloud, những người bảo trì đã tiến hành điều tra kỹ lưỡng nhật ký truy cập trong 30 ngày qua và không tìm thấy bằng chứng cho thấy lỗ hổng này đã bị khai thác. Đối với hầu hết các triển khai tự lưu trữ (self-hosting), bề mặt tấn công được giảm đáng kể khi một nhà cung cấp SSO được cấu hình và việc đăng ký bằng email/mật khẩu bị vô hiệu hóa. Trong những trường hợp này, chỉ có người dùng xác thực thông qua Enterprise SSO IdP (ví dụ: Okta) mới có thể khai thác lỗ hổng này để truy cập danh sách thành viên, tức là người dùng nội bộ tiếp cận được danh sách các người dùng nội bộ khác. Để khai thác lỗ hổng, tác nhân phải có tài khoản người dùng Langfuse hợp lệ trong cùng một phiên bản, biết orgId của tổ chức mục tiêu và sử dụng yêu cầu gửi đến API cung cấp dữ liệu cho bảng thành viên giao diện trước (frontend membership tables), bao gồm cả token xác thực dự án/người dùng của họ, đồng thời thay đổi orgId thành ID của tổ chức mục tiêu. Langfuse Cloud (EU, US, HIPAA) bị ảnh hưởng cho đến khi bản vá được triển khai vào ngày 1 tháng 11 năm 2025. Những người bảo trì đã xem xét nhật ký truy cập Langfuse Cloud trong 30 ngày qua và không tìm thấy bằng chứng nào cho thấy lỗ hổng này đã bị khai thác. Các phiên bản Self-Hosted có chứa bản vá bao gồm v2.95.11 cho major version 2 và v3.124.1 cho major version 3. Không có các giải pháp tạm thời (workarounds) nào được biết đến. Việc nâng cấp là bắt buộc để khắc phục hoàn toàn vấn đề này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.