CVE-2026-21445
KrytyczneStreszczenie
Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Przed wersją 1.7.0.dev45 wiele krytycznych punktów końcowych API w Langflow nie ma kontroli uwierzytelniania. Problem pozwala każdemu nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych rozmów użytkowników, historii transakcji oraz wykonywanie destrukcyjnych operacji, w tym usuwanie wiadomości. Dotyczy to punktów końcowych obsługujących dane osobowe i operacje systemowe, które powinny wymagać odpowiedniej autoryzacji. Wersja 1.7.0.dev45 zawiera poprawkę.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych użytkowników i wykonywać nieautoryzowane operacje, co może prowadzić do naruszenia prywatności i integralności danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.7.0.dev45 lub nowszej oraz wdrożenie odpowiednich mechanizmów uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to version 1.7.0.dev45, multiple critical API endpoints in Langflow are missing authentication controls. The issue allows any unauthenticated user to access sensitive user conversation data, transaction histories, and perform destructive operations including message deletion. This affects endpoints handling personal data and system operations that should require proper authorization. Version 1.7.0.dev45 contains a patch.