CVE-2026-3341
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
IBM Langflow Desktop w wersjach od 1.0.0 do 1.9.2 jest podatny na atak typu server-side request forgery (SSRF). Umożliwia to uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do enumeracji sieci lub ułatwienia innych ataków.
Ocena ryzyka
Podatność ta może prowadzić do poważnych zagrożeń dla bezpieczeństwa sieci organizacji, umożliwiając atakującym dostęp do wewnętrznych zasobów.
Rekomendacja
Zaleca się aktualizację IBM Langflow Desktop do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w IBM Langflow Desktop
Zobacz wszystkie- CVE-2026-6543Wysokie
IBM Langflow Desktop w wersjach od 1.0.0 do 1.8.4 umożliwia atakującemu wykonywanie dowolnych poleceń z uprawnieniami procesu uruchamiającego Langflow. To pozwala na odczyt wrażliwych zmiennych środowiskowych (klucze API, dane uwierzytelniające do bazy danych), modyfikację plików lub przeprowadzanie dalszych ataków na wewnętrzną sieć.
- CVE-2026-3345Średnie
IBM Langflow Desktop w wersji <=1.8.4 pozwala zdalnemu atakującemu na traversowanie katalogów. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje "dot dot" (/../) w celu przeglądania dowolnych plików w systemie.
- CVE-2026-4503Wysokie
IBM Langflow Desktop w wersjach od 1.0.0 do 1.8.4 może umożliwić nieautoryzowanemu użytkownikowi przeglądanie obrazów innych użytkowników z powodu pośredniego odniesienia do obiektu przez klucz kontrolowany przez użytkownika.
- CVE-2026-4502Średnie
IBM Langflow Desktop w wersjach 1.2.0–1.8.4 pozwala uwierzytelnionemu atakującemu na traversowanie katalogów i zapis dowolnych plików w systemie poprzez spreparowane żądanie URL zawierające sekwencje /../.
- CVE-2026-3346Średnie
IBM Langflow Desktop w wersjach od 1.6.0 do 1.8.4 jest podatny na przechowywany cross-site scripting (stored XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzone działanie aplikacji i potencjalnie ujawniając dane uwierzytelniające w zaufanej sesji.
- CVE-2026-3340Średnie
IBM Langflow Desktop w wersjach od 1.0.0 do 1.8.4 jest podatny na Server-Side Request Forgery (SSRF). Uwierzytelniony atakujący może wysyłać nieautoryzowane żądania z systemu, co może prowadzić do enumeracji sieci lub ułatwiać inne ataki.
- CVE-2026-3357Wysokie
IBM Langflow Desktop w wersjach od 1.6.0 do 1.8.2 zawiera podatność, która pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu w systemie. Wynika to z niebezpiecznego ustawienia domyślnego, które umożliwia deserializację niezaufanych danych w komponencie FAISS.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow Desktop 1.0.0 through 1.9.2 IBM Langflow is vulnerable to server-side request forgery (SSRF). This may allow an authenticated attacker to send unauthorized requests from the system, potentially leading to network enumeration or facilitating other attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS