CVE-2025-65107

ŚrednieCVSS 6.5

Opublikowano: 21/11/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Langfuse w wersjach od 2.95.0 do przed 2.95.12 oraz od 3.17.0 do przed 3.131.0 ma lukę w konfiguracjach dostawców SSO bez jawnego ustawienia AUTH_<PROVIDER>_CHECK, co może prowadzić do przejęcia konta przez atak CSRF lub phishing.

Ocena ryzyka

Uwierzytelniony użytkownik może zostać zmuszony do wywołania spreparowanego URL, co może skutkować przejęciem jego konta i dostępem do danych platformy.

Rekomendacja

Zaktualizuj Langfuse do wersji 2.95.12 lub 3.131.0. Jako obejście ustaw jawnie AUTH_<PROVIDER>_CHECK.

Inne podatności w Langfuse

CVE-2025-9799Średnie
W Langfuse do wersji 3.88.0 funkcja promptChangeEventSourcing w pliku web/src/features/prompts/server/routers/promptRouter.ts (komponent Webhook Handler) zawiera podatność typu server-side request forgery (SSRF). Atak może być zainicjowany zdalnie, ale wymaga wysokiej złożoności.

Oryginalny opis (angielski, źródło NVD)

Langfuse is an open source large language model engineering platform. In versions from 2.95.0 to before 2.95.12 and from 3.17.0 to before 3.131.0, in SSO provider configurations without an explicit AUTH_<PROVIDER>_CHECK setting, a potential account takeover may happen if an authenticated user is made to call a specifically crafted URL via a CSRF or phishing attack. This issue has been patched in versions 2.95.12 and 3.131.0. A workaround for this issue involves setting AUTH_<PROVIDER>_CHECK.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS