CVE-2026-9130 in Langflow OSS

摘要

由 VulDB • 2026-08-06

IBM Langflow OSS 版本从 1.0.0 到 1.10.3，其 MemoryComponent 中存在授权绕过漏洞。攻击者可通过 session_id 碰撞，以已认证用户的身份访问其他用户的聊天记录。MemoryComponent.retrieve_messages 和 store_message 方法仅基于 session_id 进行过滤，而未验证 flow_id 或 user_id 的所有权，从而导致通过多个已认证的 API 端点（包括 /api/v1/run/*、/api/v1/responses 和 /api/v2/workflow/*）发生跨用户的信息泄露。此漏洞仅影响启用了 LANGFLOW_AUTO_LOGIN=False 的多用户部署环境。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: Ibm
• 预定: 2026-05-20
• 披露: 2026-08-05
• 管理: 已接受
• 条目: VDB-386358
• CPE: 准备好
• CWE: CWE-639 (已确认)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-9130
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-9130
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-9130/