Langflow < 1.9.0 承認の欠如(CVE-2026-33760)

high Nessus プラグイン ID 326242

Language:

概要

リモートホストは、認証欠如の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Langflow のバージョンは、1.9.0 より前です。したがって、認証欠如の脆弱性の影響を受けます。

- /api/v1/monitorルーターは、認証されたリクエスターが標的のリソースを所有していることを検証せずに、ユーザー所有のリソースで読み取り、書き込み、削除操作を実行する7つのエンドポイントを漏えいさせます。認証されたユーザーは、ターゲットのリソースIDまたはflow_idを提供することで、他のユーザーのメッセージ、セッション、ビルドアーティファクト、LLMトランザクションログを読み取り、変更、名前変更、または完全に削除できます。(CVE-2026-33760)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。