Podatności IBM Langflow OSS

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera poprzez zapisanie przepływu z spreparowaną wartością pola typu i wywołanie budowy przepływu opakowującego, który go odwołuje. Umożliwia to eskalację uprawnień od 'uwierzytelnionego użytkownika przepływów' do dowolnego wykonania poleceń na poziomie systemu operacyjnego, z pominięciem polityki LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwego egzekwowania ograniczeń bezpieczeństwa na publicznym punkcie końcowym A2A.

IBM Langflow OSS 1.0.0 do 1.9.6 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu do kont użytkowników z powodu niewłaściwego ograniczenia nadmiernych prób uwierzytelniania.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na wstrzyknięcie dowolnego kodu do systemu z powodu nieprawidłowej kontroli kodu wejściowego użytkownika.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 zawiera podatność na niewłaściwą walidację wejścia w implementacji piaskownicy PythonREPL.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 jest podatny na zdalne wykonanie kodu bez uwierzytelnienia poprzez wstrzykiwanie zmiennych środowiskowych w programie ładującym MCP stdio. Podatność wynika z niekompletnej listy blokowanych zmiennych środowiskowych (brak SHELLOPTS, BASHOPTS i PS4) w pliku src/lfx/src/lfx/base/mcp/util.py.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 zawiera zakodowane na stałe poświadczenia (hasła lub klucze kryptograficzne), które są używane do uwierzytelniania przychodzącego, komunikacji wychodzącej z zewnętrznymi komponentami lub szyfrowania danych wewnętrznych.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 umożliwia uwierzytelnionym użytkownikom eskalację uprawnień do superużytkownika poprzez bezpośrednią manipulację bazą danych. Pozwala to na wykonanie dowolnych poleceń systemowych i pełne przejęcie systemu z uprawnieniami usługi Langflow.

IBM Langflow OSS 1.0.0 do 1.10.0 ma podatność w logice uwierzytelniania webhook, która pozwala nieuwierzytelnionym użytkownikom na wyzwolenie wykonania dowolnego flowu, gdy WEBHOOK_AUTH_ENABLE jest ustawione na False (domyślnie).

Krytyczna podatność w IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 w punkcie końcowym /api/v1/validate/code. Umożliwia uwierzytelnionemu atakującemu wykonanie dowolnego kodu Python na serwerze bez sandboxingu, co prowadzi do zdalnego wykonania kodu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera krytyczną podatność na zdalne wykonanie kodu w mechanizmie buforowania dyskowego. Klasa AsyncDiskCache używa niebezpiecznej funkcji pickle.loads() do deserializacji obiektów z dysku bez walidacji, weryfikacji integralności ani uwierzytelniania.

IBM Langflow OSS wersje 1.0.0 do 1.10.0 (do commitu 94981c443d4918517b9e8163d70fc598dc33a32d) zawiera podatność na wstrzykiwanie kodu w komponencie Policies przez integrację ToolGuard, która omija kontrolę allow_custom_components=false, umożliwiając uwierzytelnionym użytkownikom z uprawnieniami do tworzenia przepływów wykonanie dowolnego kodu Python na serwerze.

Podatność w IBM Langflow OSS w wersjach 1.0.0 do 1.10.0. Endpoint /api/v1/login/auto_login wydaje długotrwałe tokeny superużytkownika bez uwierzytelnienia, gdy włączona jest konfiguracja AUTO_LOGIN (domyślnie włączona). Dodatkowo, permisywne ustawienia CORS mogą ujawnić tokeny niezaufanym źródłom.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą ujawnienie wszystkich przechowywanych poświadczeń. Problem wynika z użycia słabego i odwracalnego mechanizmu wyprowadzania klucza do szyfrowania danych w spoczynku.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą uwierzytelnionym atakującym wykonanie dowolnych poleceń systemu operacyjnego oraz odczyt wrażliwych plików, w tym poświadczeń. Prowadzi to do całkowitego przejęcia systemu i umożliwia ruch boczny w sieci.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą użytkownikom z dostępem do Redis wykonanie dowolnego kodu z pełnymi uprawnieniami aplikacji. Luka ta zagraża poufności wszystkich sekretów, danych oraz integralności systemu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą zdalne wykonanie dowolnego kodu. Problem wynika z nieprawidłowej walidacji węzłów przepływu, które mają brakujące lub puste pola typu komponentu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera podatność polegającą na nieprawidłowym egzekwowaniu autoryzacji w punkcie końcowym transportu Streamable MCP. Umożliwia to nieuwierzytelnionym atakującym dostęp do chronionych zasobów projektu MCP oraz wykonywanie operacji MCP.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 w trybie głosowym nieprawidłowo zarządza współdzielonym stanem, co umożliwia ponowne wykorzystanie klientów API pomiędzy dzierżawcami. Uwierzytelniony atakujący może manipulować stanem pamięci podręcznej, powodując przetwarzanie żądań innych użytkowników z użyciem nieprawidłowych poświadczeń API, co prowadzi do błędnego przypisania kosztów i odpowiedzialności między dzierżawcami.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera krytyczną podatność, która pozwala atakującemu na odczyt wszystkich sekretów dostępnych dla procesu Langflow, odczyt i modyfikację wszystkich przepływów, konwersacji, wiadomości, przesłanych plików oraz zapisanych komponentów w bazie danych Langflow. Atakujący może również łączyć się z wewnętrznymi usługami, nadużywać punktów końcowych metadanych chmury, przemieszczać się lateralnie do innych dzierżawców w tej samej instancji Langflow oraz utrwalić dostęp poprzez modyfikację `tool_code` publicznego przepływu, co powoduje ponowne wykonanie kodu atakującego przy każdym wywołaniu `/api/v1/build/...` przez dowolnego użytkownika.

IBM Langflow OSS 1.0.0 do 1.11.1 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie i odczytanie prywatnych przepływów dowolnego użytkownika z powodu nieprawidłowej autoryzacji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji i wstrzyknięcie nieautoryzowanych wiadomości z powodu kolizji przestrzeni nazw między identyfikatorami użytkowników.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików z powodu podatności na path traversal.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych przepływów i uzyskanie dostępu do poufnych informacji z powodu nieprawidłowego uwierzytelniania.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej kontroli generowania kodu.

IBM Langflow OSS 1.0.0 do 1.11.1 jest podatny na podrabianie żądań po stronie serwera (SSRF). Może to pozwolić uwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, potencjalnie prowadząc do enumeracji sieci lub ułatwiając inne ataki.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na nadpisanie adresu e-mail administratora i wykorzystanie serwera jako przekaźnika wychodzącego z powodu braku uwierzytelnienia w punkcie końcowym rejestracji.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 zawiera podatność na obejście autoryzacji w komponencie MemoryComponent. Umożliwia ona uwierzytelnionym użytkownikom dostęp do historii czatów innych użytkowników poprzez kolizję identyfikatorów sesji. Metody retrieve_messages i store_message filtrują tylko po session_id, nie weryfikując własności flow_id ani user_id, co prowadzi do ujawnienia informacji między użytkownikami przez wiele punktów końcowych API.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu atakującemu na wstrzyknięcie dowolnego kodu do systemu z powodu nieprawidłowej kontroli kodu wprowadzanego przez użytkownika.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 używa nienadającego się do kryptografii modułu losowego Pythona do generowania kluczy szyfrowania Fernet z sekretów użytkownika krótszych niż 32 znaki. Deterministyczny generator Mersenne Twister PRNG produkuje identyczne klucze dla identycznych ziaren, co pozwala atakującym odtworzyć klucze szyfrowania i odszyfrować przechowywane klucze API i tokeny uwierzytelniające.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu atakującemu na przeglądanie dowolnych plików w systemie poprzez podatność na traversing katalogów. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje 'dot dot' ( /../ ), aby uzyskać dostęp do plików poza dozwolonym katalogiem.

Instalacje IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 pozwalają każdej osobie w internecie na wykonanie dowolnego kodu na serwerze bez żadnych poświadczeń, wykorzystując tylko 2 żądania HTTP.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 jest podatny na Path Traversal w API baz wiedzy (POST /api/v1/knowledge_bases). Dzieje się tak, ponieważ nazwy baz wiedzy dostarczane przez użytkownika są używane bezpośrednio do tworzenia ścieżek plików bez odpowiedniej sanityzacji lub kontroli ograniczeń. Uwierzytelniony atakujący może wykorzystać tę wadę do tworzenia katalogów i zapisywania plików w dowolnym miejscu systemu plików serwera.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 nie waliduje poprawnie pola nazwy użytkownika, co pozwala atakującym na wstrzyknięcie sekwencji path traversal i ominięcie kontroli ograniczeń. Umożliwia to wiele poważnych skutków, w tym dowolne usuwanie katalogów, niszczenie danych między dzierżawcami oraz usunięcie klucza podpisywania JWT prowadzące do unieważnienia sesji.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu wstrzyknięcia kodu.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji kodu Pythona podczas skanowania bezpieczeństwa opartego na AST.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji importów modułów.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 nie waliduje poprawnie własności w przestarzałym punkcie końcowym POST /api/v1/build/{flow_id}/vertices, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie dowolnych danych grafu do współdzielonej pamięci podręcznej dla dowolnego przepływu. Może to prowadzić do zanieczyszczenia pamięci podręcznej między użytkownikami, nieautoryzowanego wykonywania przepływów pracy lub ataku DoS.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji validate_model_provider_key() dla dostawcy Ollama. Funkcja przyjmuje parametr OLLAMA_BASE_URL dostarczony przez użytkownika i przekazuje go bezpośrednio do requests.get() bez walidacji, bez listy dozwolonych schematów/hostów i bez filtrowania prywatnych zakresów IP (loopback, RFC1918, link-local).

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 może pozwolić na atak typu Server-Side Request Forgery (SSRF) z powodu niekompletnego i nieskutecznego egzekwowania ochrony przed SSRF.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 (wielokrotnie powtórzone) może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu systemu operacyjnego.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 umożliwia zdalnym uwierzytelnionym atakującym ominięcie ograniczeń dotyczących tylko localhost i zapis dowolnych konfiguracji serwera MCP do plików konfiguracyjnych IDE na systemie hosta.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 zawiera podatność na ominięcie uwierzytelniania w punkcie końcowym kompozytora Model Context Protocol (MCP), gdy mcp_composer_enabled=true (domyślnie) i projekty są skonfigurowane z auth_type=oauth.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 pozwala atakującemu na dostęp do prywatnych wektorowych dokumentów innego użytkownika poprzez utworzenie własnego przepływu z pasującymi wartościami Chroma persist_directory i collection_name. Atakujący otrzymuje dokładną treść ofiary w swoim wyjściu przepływu, mimo braku autoryzacji do odczytu przepływu ofiary. Dodatkowo atakujący może zanieczyścić kolekcję ofiary, wstawiając własne dokumenty do współdzielonej przestrzeni nazw.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 umożliwia zdalnemu atakującemu przemieszczanie się po katalogach systemu. Wystarczy wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” ( /../ ), aby odczytać dowolne pliki w systemie.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 umożliwia uwierzytelnionym użytkownikom dostęp i manipulację zadaniami budowania innych użytkowników z powodu nieprawidłowej kontroli dostępu do pobierania logów i nieuwierzytelnionych endpointów budowania.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 pozwala atakującemu na ponowne wykorzystanie przestrzeni nazw FAISS innego użytkownika, co umożliwia dostęp do treści wektorowych przeznaczonych tylko dla właściciela oraz wpływanie na wyniki późniejszych zapytań. Prowadzi to do ujawnienia informacji między użytkownikami i ograniczonego wpływu na integralność poprzez trwałe zatruwanie zwracanych wyników.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 pozwala uwierzytelnionemu atakującemu na wykorzystanie komponentu SaveToFile do odczytu i modyfikacji plików innych użytkowników poprzez podanie absolutnych ścieżek do lokalizacji ofiary. W trybie dołączania atakujący odczytuje zawartość pliku ofiary, dołącza własne dane i przesyła kopię do swojego obszaru. W trybie nadpisywania może zastąpić zawartość pliku ofiary dowolnymi danymi.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 umożliwia uwierzytelnionym użytkownikom nadpisywanie parametrów komponentów w czasie wykonania przez API. Krytyczna luka bezpieczeństwa istnieje w mechanizmie filtrowania parametrów w funkcji `apply_tweaks()`.