CVE-2025-9799

ŚrednieCVSS 5.0

Opublikowano: 01/09/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

W Langfuse do wersji 3.88.0 funkcja promptChangeEventSourcing w pliku web/src/features/prompts/server/routers/promptRouter.ts (komponent Webhook Handler) zawiera podatność typu server-side request forgery (SSRF). Atak może być zainicjowany zdalnie, ale wymaga wysokiej złożoności.

Ocena ryzyka

Atakujący może wykorzystać podatność do wysyłania żądań z serwera do wewnętrznych zasobów, co może prowadzić do ujawnienia informacji lub innych ataków.

Rekomendacja

Zaktualizuj Langfuse do wersji zawierającej poprawkę lub ogranicz możliwość wywoływania webhooków do zaufanych adresów.

Inne podatności w Langfuse

CVE-2025-65107Średnie
Langfuse w wersjach od 2.95.0 do przed 2.95.12 oraz od 3.17.0 do przed 3.131.0 ma lukę w konfiguracjach dostawców SSO bez jawnego ustawienia AUTH_<PROVIDER>_CHECK, co może prowadzić do przejęcia konta przez atak CSRF lub phishing.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in Langfuse up to 3.88.0. Affected by this vulnerability is the function promptChangeEventSourcing of the file web/src/features/prompts/server/routers/promptRouter.ts of the component Webhook Handler. Performing manipulation results in server-side request forgery. The attack may be initiated remotely. A high degree of complexity is needed for the attack. The exploitation appears to be difficult. The exploit has been released to the public and may be exploited.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS