Langflow 越权访问漏洞 (CVE-2026-9103) 安全公告

漏洞概述 CVE编号: CVE-2026-9103 描述: Langflow 允许远程攻击者通过 端点获取未授权的访问。该端点在 配置启用时（默认启用），会颁发长期有效的超级用户令牌，无需认证。这可能导致未授权的网络攻击者获得完全的管理访问权限。此外，宽松的跨域资源共享（CORS）设置可能使令牌暴露给非预期的来源，增加未授权访问的风险。 CWE: CWE-306: Missing Authentication for Critical Function CVSS 来源: IBM CVSS 基础分数: 9.8 CVSS 向量: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) 影响范围 受影响产品: Langflow OSS 受影响版本: 1.0.0-1.0.10 修复方案 修复建议: IBM 强烈建议立即通过升级 Langflow OSS 到版本 1.0.10.1 来解决此漏洞。 其他信息 文档编号: 7278926 修改日期: 2026年7月2日 初始发布日期: 2026年7月2日 操作系统: Windows, Linux, Mac OS 参考链接 Complete CVSS v3 Guide On-line Calculator v3 相关信息 IBM Secure Engineering Web Portal IBM Product Security Incident Response Blog 致谢 Bugbunny (bugbunny-research) Bugbunny @bugbunny_ai bugbunny.ai https://x.com/bugbunny_ai 变更历史 2026年7月2日: 初始发布 免责声明 根据论坛事件响应和安全团队（FIRST），通用漏洞评分系统（CVSS）是一个行业标准，旨在传达漏洞的严重性和帮助确定响应的紧迫性和优先级。IBM 提供 CVSS 分数“按原样”，不提供任何明示或暗示的保证。客户负责评估任何实际或潜在安全漏洞的影响。IBM 定期更新其产品中包含的组件的记录。如果 IBM 在产品/服务清单中识别出以前未识别的包，它将解决相关漏洞，无论 CVE 日期如何。IBM 使用过的产品自该日期以来并未表明 IBM 在漏洞日期时知道该漏洞。我们正努力使客户意识到相关的漏洞，因为我们意识到它们。“受影响的产品和版本”中引用的 IBM 安全公告旨在仅支持 IBM 支持和未过期的产品和版本。因此，引用不支持或延长支持的产品和版本在本安全公告中不构成 IBM 确定它们不受漏洞影响的决定。引用一个或多个不支持的版本在本安全公告中不会为 IBM 创建为任何不支持或延长支持的产品或版本提供修复的义务。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Langflow 越权访问漏洞 (CVE-2026-9103) 安全公告

目标达成感谢每一位支持者 — 我们达成了 100% 目标！