CVE-2026-55255

Nome do Software Vulnerável e Versões Afetadas Langflow versões anteriores a 1.9.2

Description Um problema de Referência Direta a Objeto Insegura (IDOR) existe no endpoint /api/v1/responses. Isso ocorre porque a função get flow by id or endpoint name() em src/backend/base/langflow/helpers/flow.py consulta o banco de dados usando um ID de fluxo sem verificar se o usuário autenticado é o proprietário desse fluxo específico. Um invasor autenticado pode executar qualquer fluxo pertencente a outro usuário fornecendo o ID do fluxo da vítima no parâmetro model. Isso pode levar à execução de fluxos de trabalho não autorizados, consumo de recursos de outros usuários e acesso a dados sensíveis processados por esses fluxos.

Recommendations Atualize o Langflow para a versão 1.9.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint /api/v1/responses apenas a usuários confiáveis.