PT-2026-39011 · Langfuse · Langfuse

Mustafabilgici · Publicado 2026-05-08 · Atualizado 2026-05-13 · CVE-2026-41487

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Langfuse versões 3.68.0 até 3.166.0

Descrição Uma falha de controle de acesso baseado em funções existe no fluxo de atualização de conexão LLM. Um usuário autenticado com a função "member" em um projeto pode solicitar a atualização de uma conexão LLM existente, alterando o baseUrl para um controlado por um invasor. Isso faz com que o sistema reutilize o segredo do provedor armazenado e redirecione a solicitação de teste para o endpoint controlado pelo invasor, expondo potencialmente a chave de API LLM do provedor em texto simples para aquela conexão.

Recomendações Atualizar para a versão 3.167.0.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2026-41487

Produtos afetados

Langfuse

Referências · 9

• https://github.com/langfuse/langfuse/pull/13055 · Correção
• https://github.com/langfuse/langfuse/releases/tag/v3.167.0 · Nota
• https://github.com/langfuse/langfuse/commit/e12386f9d4368bbfff24a4ad7fd53641091605ff · Correção
• https://github.com/langfuse/langfuse/pull/13027 · Correção
• https://github.com/langfuse/langfuse/security/advisories/GHSA-2524-j966-gfgh · Aviso do Fabricante
• https://github.com/langfuse/langfuse/commit/7527bb0d84bc0a3dc24a4b16d22ed2e46e6dddff · Correção
• https://twitter.com/CVEnew/status/2052767582659518845 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41487 · Nota de Segurança
• https://t.me/cveNotify/163343 · Publicação no Telegram