جزئیات آسیب‌پذیری

CVE-2026-55255

بهره‌برداری فعال

langflow-ai langflow

Langflow: IDOR Vulnerability in `/api/v1/responses` Endpoint Allows Authenticated Attackers to Access Another User's Flow

CVSS 3.1

8.4بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.1, an Insecure Direct Object Reference (IDOR) vulnerability in /api/v1/responses endpoint allows an authenticated attacker to execute any flow belonging to another user by specifying the victim's flow ID in the request. This vulnerability is fixed in 1.9.1.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.4بالا	3.1	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
langflow-ai	langflow	< 1.9.1	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/langflow-ai/langflow/pull/12832 x_refsource_MISC
https://github.com/langflow-ai/langflow/commit/2c9f498d664a3c32698b57d7c5e752625291060e x_refsource_MISC
https://github.com/langflow-ai/langflow/security/advisories/GHSA-qrpv-q767-xqq2 x_refsource_CONFIRM
https://webflow.sysdig.com/blog/understanding-langflow-cve-2026-55255-and-why-higher-cvss-vulnerabilities-arent-always-the-most-exploited third-party-advisory
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-55255 government-resource

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۴/۰۲
آخرین به‌روزرسانی: ۱۴۰۵/۰۷/۱۵
وضعیت: PUBLISHED
صادرکننده (CNA): GitHub_M
اولویت کلون: به‌زودی

فهرست KEV آژانس CISA

تاریخ افزوده‌شدن: ۱۴۰۵/۰۴/۱۶
مهلت رفع: ۱۴۰۵/۰۴/۱۹
استفاده در باج‌افزار: نامشخص

پیش‌بینی بهره‌برداری (EPSS)

۰٫۸۸٪

احتمال بهره‌برداری در ۳۰ روز

۵۹٫۳٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: no
Exploitation: active
Technical Impact: total

ضعف‌ها (CWE)

CWE-639
Authorization Bypass Through User-Controlled Key