PT-2026-51099 · Langflow · Langflow

Publicado 2026-06-19 · Atualizado 2026-06-20 · CVE-2026-55255

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas langflow versões anteriores a 1.9.1

Description Uma Referência Direta a Objeto Insegura (IDOR) existe no endpoint '/api/v1/responses'. Este problema permite que um invasor autenticado execute qualquer fluxo pertencente a outro usuário ao especificar o ID do fluxo da vítima na requisição. A falha está localizada na função auxiliar get flow by id or endpoint name(), que consulta o banco de dados por fluxos via UUID sem verificar se o usuário autenticado é o proprietário do fluxo solicitado. Isso pode levar à exposição de dados sensíveis processados pelos fluxos da vítima e ao consumo não autorizado de seus recursos.

Recommendations Atualize para a versão 1.9.1.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-55255

GHSA-QRPV-Q767-XQQ2

Produtos afetados

Langflow

Referências · 6

• https://github.com/langflow-ai/langflow/pull/12832 · Nota
• https://github.com/langflow-ai/langflow/security/advisories/GHSA-qrpv-q767-xqq2 · Nota
• https://github.com/langflow-ai/langflow · Nota
• https://osv.dev/vulnerability/GHSA-qrpv-q767-xqq2 · Aviso do Fabricante
• https://twitter.com/AretiqAI/status/2068096863111090663 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2068308829561815198 · Publicação no Twitter