جزئیات آسیب‌پذیری
CVE-2026-55255
بهره‌برداری فعال
langflow-ai langflow
Langflow: IDOR Vulnerability in `/api/v1/responses` Endpoint Allows Authenticated Attackers to Access Another User's Flow
CVSS 3.1
8.4بالا
شرح رسمی (انگلیسی)
Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.1, an Insecure Direct Object Reference (IDOR) vulnerability in /api/v1/responses endpoint allows an authenticated attacker to execute any flow belonging to another user by specifying the victim's flow ID in the request. This vulnerability is fixed in 1.9.1.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.4بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| langflow-ai | langflow | < 1.9.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/langflow-ai/langflow/pull/12832 x_refsource_MISC
- https://github.com/langflow-ai/langflow/commit/2c9f498d664a3c32698b57d7c5e752625291060e x_refsource_MISC
- https://github.com/langflow-ai/langflow/security/advisories/GHSA-qrpv-q767-xqq2 x_refsource_CONFIRM
- https://webflow.sysdig.com/blog/understanding-langflow-cve-2026-55255-and-why-higher-cvss-vulnerabilities-arent-always-the-most-exploited third-party-advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-55255 government-resource
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۴/۰۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۵/۰۴/۱۶
- مهلت رفع
- ۱۴۰۵/۰۴/۱۹
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
۰٫۸۸٪
احتمال بهره‌برداری در ۳۰ روز
۵۹٫۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- فعال
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-639Authorization Bypass Through User-Controlled Key