CVE-2025-64504 in Langfuse
摘要
由 VulDB • 2026-06-27
Langfuse 是一个开源的大语言模型工程平台。从版本 2.70.0 开始，直至低于 2.95.11（主版本 2）和 3.124.1（主版本 3）的版本中，在某些项目成员身份 API 中，服务器信任由用户控制的 orgId，并在授权检查中使用该 ID。因此，同一 Langfuse 实例上的任何经过身份验证的用户，如果知道目标组织的 ID，就可以枚举另一个组织中用户的姓名和电子邮件地址。信息泄露仅限于成员/受邀者的姓名和电子邮件地址。不会暴露或访问客户数据（如追踪记录、提示词或评估结果）。对于 Langfuse Cloud，维护者对过去 30 天的访问日志进行了彻底调查，未发现任何此漏洞被利用的证据。在大多数自托管部署中，如果配置了单点登录 (SSO) 提供商并禁用了电子邮件/密码注册，攻击面会显著减少。在这些情况下，只有通过企业 SSO IdP（例如 Okta）进行身份验证的用户才能利用此漏洞访问成员列表，即内部用户获取其他内部用户的列表。为了利用该漏洞，攻击者必须拥有同一实例内的有效 Langfuse 用户账户，知道目标 orgId，并使用前端成员表背后的 API 发出的请求（包括其项目/用户认证令牌），同时将 orgId 更改为目标组织 ID。Langfuse Cloud (EU, US, HIPAA) 受影响直至修复部署于 2025 年 11 月 1 日完成。维护者审查了过去 30 天的 Langfuse Cloud 访问日志，未发现此漏洞被利用的证据。包含补丁的自托管版本包括主版本 2 中的 v2.95.11 和主版本 3 中的 v3.124.1。目前没有已知的工作区规避方法。必须升级才能完全缓解此问题。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.