Podatności IBM Langflow OSS

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu podatności na fałszowanie żądań po stronie serwera (SSRF).

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z wewnętrznych usług z powodu rozbieżności w parserze URL.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 umożliwia zdalnemu uwierzytelnionemu atakującemu usunięcie dowolnych plików lub katalogów lokalnych z powodu nieprawidłowego ograniczenia ścieżki do katalogu zastrzeżonego.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu niepełnego usuwania wrażliwych pól poświadczeń.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu obejścia autoryzacji w procesie budowania przepływu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 umożliwia zdalnym uwierzytelnionym atakującym ominięcie ograniczenia instalacji konfiguracji MCP tylko dla localhost poprzez sfałszowanie nagłówka X-Forwarded-For: 127.0.0.1, co pozwala na dowolny zapis do plików konfiguracyjnych IDE (np. ~/.cursor/mcp.json).

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić uwierzytelnionemu atakującemu na zapis dowolnych plików na serwerze z powodu nieprawidłowej walidacji danych wejściowych w komponencie SaveToFileComponent. Aplikacja konstruuje lokalne ścieżki plików przy użyciu danych kontrolowanych przez atakującego bez odpowiedniego oczyszczania podczas obsługi żądań do punktu końcowego /api/v1/run/{flow_id}. Atakujący z uwierzytelnieniem o niskich uprawnieniach (np. ważny klucz API lub sesja użytkownika) może dostarczyć spreparowane wartości ścieżek, w tym ścieżki bezwzględne lub sekwencje przejść do innych katalogów, umożliwiając zapis dowolnych plików w lokalizacjach zapisywalnych przez proces Langflow. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego tworzenia lub modyfikacji plików, co może skutkować dalszym naruszeniem bezpieczeństwa w zależności od środowiska wdrożenia.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 cierpi na podatność na trwały atak XSS w interfejsie czatu Playground.

IBM Langflow OSS 1.0.0 do 1.11.1 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie i odczytanie prywatnych przepływów dowolnego użytkownika z powodu nieprawidłowej autoryzacji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji i wstrzyknięcie nieautoryzowanych wiadomości z powodu kolizji przestrzeni nazw między identyfikatorami użytkowników.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików z powodu podatności na path traversal.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych przepływów i uzyskanie dostępu do poufnych informacji z powodu nieprawidłowego uwierzytelniania.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej kontroli generowania kodu.

IBM Langflow OSS 1.0.0 do 1.11.1 jest podatny na podrabianie żądań po stronie serwera (SSRF). Może to pozwolić uwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, potencjalnie prowadząc do enumeracji sieci lub ułatwiając inne ataki.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na nadpisanie adresu e-mail administratora i wykorzystanie serwera jako przekaźnika wychodzącego z powodu braku uwierzytelnienia w punkcie końcowym rejestracji.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 zawiera podatność na obejście autoryzacji w komponencie MemoryComponent. Umożliwia ona uwierzytelnionym użytkownikom dostęp do historii czatów innych użytkowników poprzez kolizję identyfikatorów sesji. Metody retrieve_messages i store_message filtrują tylko po session_id, nie weryfikując własności flow_id ani user_id, co prowadzi do ujawnienia informacji między użytkownikami przez wiele punktów końcowych API.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu atakującemu na wstrzyknięcie dowolnego kodu do systemu z powodu nieprawidłowej kontroli kodu wprowadzanego przez użytkownika.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 używa nienadającego się do kryptografii modułu losowego Pythona do generowania kluczy szyfrowania Fernet z sekretów użytkownika krótszych niż 32 znaki. Deterministyczny generator Mersenne Twister PRNG produkuje identyczne klucze dla identycznych ziaren, co pozwala atakującym odtworzyć klucze szyfrowania i odszyfrować przechowywane klucze API i tokeny uwierzytelniające.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu atakującemu na przeglądanie dowolnych plików w systemie poprzez podatność na traversing katalogów. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje 'dot dot' ( /../ ), aby uzyskać dostęp do plików poza dozwolonym katalogiem.

Instalacje IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 pozwalają każdej osobie w internecie na wykonanie dowolnego kodu na serwerze bez żadnych poświadczeń, wykorzystując tylko 2 żądania HTTP.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 jest podatny na Path Traversal w API baz wiedzy (POST /api/v1/knowledge_bases). Dzieje się tak, ponieważ nazwy baz wiedzy dostarczane przez użytkownika są używane bezpośrednio do tworzenia ścieżek plików bez odpowiedniej sanityzacji lub kontroli ograniczeń. Uwierzytelniony atakujący może wykorzystać tę wadę do tworzenia katalogów i zapisywania plików w dowolnym miejscu systemu plików serwera.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 nie waliduje poprawnie pola nazwy użytkownika, co pozwala atakującym na wstrzyknięcie sekwencji path traversal i ominięcie kontroli ograniczeń. Umożliwia to wiele poważnych skutków, w tym dowolne usuwanie katalogów, niszczenie danych między dzierżawcami oraz usunięcie klucza podpisywania JWT prowadzące do unieważnienia sesji.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu wstrzyknięcia kodu.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji kodu Pythona podczas skanowania bezpieczeństwa opartego na AST.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji importów modułów.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 nie waliduje poprawnie własności w przestarzałym punkcie końcowym POST /api/v1/build/{flow_id}/vertices, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie dowolnych danych grafu do współdzielonej pamięci podręcznej dla dowolnego przepływu. Może to prowadzić do zanieczyszczenia pamięci podręcznej między użytkownikami, nieautoryzowanego wykonywania przepływów pracy lub ataku DoS.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.3 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji validate_model_provider_key() dla dostawcy Ollama. Funkcja przyjmuje parametr OLLAMA_BASE_URL dostarczony przez użytkownika i przekazuje go bezpośrednio do requests.get() bez walidacji, bez listy dozwolonych schematów/hostów i bez filtrowania prywatnych zakresów IP (loopback, RFC1918, link-local).

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 może pozwolić na atak typu Server-Side Request Forgery (SSRF) z powodu niekompletnego i nieskutecznego egzekwowania ochrony przed SSRF.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 (wielokrotnie powtórzone) może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu systemu operacyjnego.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 umożliwia zdalnym uwierzytelnionym atakującym ominięcie ograniczeń dotyczących tylko localhost i zapis dowolnych konfiguracji serwera MCP do plików konfiguracyjnych IDE na systemie hosta.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 zawiera podatność na ominięcie uwierzytelniania w punkcie końcowym kompozytora Model Context Protocol (MCP), gdy mcp_composer_enabled=true (domyślnie) i projekty są skonfigurowane z auth_type=oauth.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 pozwala atakującemu na dostęp do prywatnych wektorowych dokumentów innego użytkownika poprzez utworzenie własnego przepływu z pasującymi wartościami Chroma persist_directory i collection_name. Atakujący otrzymuje dokładną treść ofiary w swoim wyjściu przepływu, mimo braku autoryzacji do odczytu przepływu ofiary. Dodatkowo atakujący może zanieczyścić kolekcję ofiary, wstawiając własne dokumenty do współdzielonej przestrzeni nazw.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 umożliwia zdalnemu atakującemu przemieszczanie się po katalogach systemu. Wystarczy wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” ( /../ ), aby odczytać dowolne pliki w systemie.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 umożliwia uwierzytelnionym użytkownikom dostęp i manipulację zadaniami budowania innych użytkowników z powodu nieprawidłowej kontroli dostępu do pobierania logów i nieuwierzytelnionych endpointów budowania.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 pozwala atakującemu na ponowne wykorzystanie przestrzeni nazw FAISS innego użytkownika, co umożliwia dostęp do treści wektorowych przeznaczonych tylko dla właściciela oraz wpływanie na wyniki późniejszych zapytań. Prowadzi to do ujawnienia informacji między użytkownikami i ograniczonego wpływu na integralność poprzez trwałe zatruwanie zwracanych wyników.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 pozwala uwierzytelnionemu atakującemu na wykorzystanie komponentu SaveToFile do odczytu i modyfikacji plików innych użytkowników poprzez podanie absolutnych ścieżek do lokalizacji ofiary. W trybie dołączania atakujący odczytuje zawartość pliku ofiary, dołącza własne dane i przesyła kopię do swojego obszaru. W trybie nadpisywania może zastąpić zawartość pliku ofiary dowolnymi danymi.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 umożliwia uwierzytelnionym użytkownikom nadpisywanie parametrów komponentów w czasie wykonania przez API. Krytyczna luka bezpieczeństwa istnieje w mechanizmie filtrowania parametrów w funkcji `apply_tweaks()`.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu odczyt dowolnych plików, w tym klucza podpisu JWT, a następnie fałszowanie tokenów uwierzytelniających dla dowolnego użytkownika.

Podatność w IBM Langflow OSS (wersje 1.0.0-1.10.0) umożliwia uwierzytelnionemu atakującemu utworzenie złośliwego przepływu, który prowadzi do zapisu dowolnych plików w systemie poprzez specjalnie spreparowany nagłówek Content-Disposition.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 zawiera podatność w komponencie Python Interpreter. Uwierzytelniony użytkownik może wykorzystać nieprawidłową walidację danych wejściowych do wykonania dowolnych poleceń z podwyższonymi uprawnieniami.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia w publicznym punkcie końcowym budowania przepływu (/api/v1/build_public_tmp/{flow_id}/flow). Podatność wynika z niekompletnej listy blokowanych komponentów w funkcji validate_public_flow_no_code_execution(), która nie blokuje kilku komponentów agentów wykonujących kod, takich jak OpenDsStarAgent, CodeActAgentSmolagents i CSVAgent.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Komponenty RSSReaderComponent i SearXNG wykonują niezweryfikowane żądania HTTP do adresów URL kontrolowanych przez użytkownika, omijając zabezpieczenia SSRF wprowadzone w wersji 1.9.3.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera brak uwierzytelniania w endpointach /api/v1/build_public_tmp/, co pozwala nieuwierzytelnionemu atakującemu na odczyt danych zdarzeń budowania lub anulowanie zadań przy użyciu prawidłowego identyfikatora zadania, prowadząc do ujawnienia informacji i odmowy usługi.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie URL, spowodowaną warunkiem wyścigu TOCTOU, który może być wykorzystany przez ponowne wiązanie DNS.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera podatność na obejście ochrony przed fałszowaniem żądań po stronie serwera (SSRF) w komponencie API Request. Uwierzytelniony atakujący z niskimi uprawnieniami (rola autora przepływu) może ominąć zabezpieczenia SSRF, włączając parametr follow_redirects i podając publiczny URL przekierowujący na adresy wewnętrzne/localhost. Podatność wynika z faktu, że aplikacja weryfikuje tylko początkowy URL, ale nie ponownie weryfikuje miejsc docelowych przekierowań.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.1 może pozwolić uwierzytelnionemu użytkownikowi na odczyt lub modyfikację wrażliwych informacji poprzez obejście uwierzytelnienia za pomocą niebezpiecznych bezpośrednich odniesień do obiektów.