CVE-2026-9103
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w IBM Langflow OSS w wersjach 1.0.0 do 1.10.0. Endpoint /api/v1/login/auto_login wydaje długotrwałe tokeny superużytkownika bez uwierzytelnienia, gdy włączona jest konfiguracja AUTO_LOGIN (domyślnie włączona). Dodatkowo, permisywne ustawienia CORS mogą ujawnić tokeny niezaufanym źródłom.
Ocena ryzyka
Ryzyko krytyczne – nieuwierzytelniony atakujący sieciowy może uzyskać pełny dostęp administracyjny, co prowadzi do całkowitego przejęcia systemu.
Rekomendacja
Wyłącz konfigurację AUTO_LOGIN w IBM Langflow OSS. Zaktualizuj oprogramowanie do wersji zawierającej poprawkę. Skonfiguruj CORS, aby zezwalać tylko na zaufane domeny.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.10.0 could allow a remote attacker to gain unauthorized access due to improper authentication in the /api/v1/login/auto_login endpoint. The endpoint issues long-lived superuser bearer tokens without requiring authentication when the AUTO_LOGIN configuration is enabled (enabled by default), which may allow an unauthenticated network attacker to obtain full administrative access. Additionally, permissive cross-origin resource sharing (CORS) settings may allow tokens to be exposed to unintended origins, increasing the risk of unauthorized access.