Summary
Path traversal in Langflow macOS (CVE-2026-7872). Confidential information can be exposed externally.
Original description
The description as published by the source.
IBM Langflow OSS 1.0.0 through 1.10.0 allows an authenticated attacker to read arbitrary files including the JWT signing key and forge authentication tokens for any user.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
IBM Langflow OSS 1.0.0から1.10.0には、認証済みの攻撃者が任意のファイルを読み取ることで、JWT署名キーを入手し、任意のユーザーに対する認証トークンを偽造できる脆弱性があります。この問題は深刻であり、特に機密性の高い情報が含まれている場合、重大な被害を引き起こす可能性があります。
IBM Langflow OSSの認証済み攻撃者が任意のファイルを読み取れる脆弱性。
IBM Langflow OSS バージョン 1.0.0 から 1.10.0
JWT署名キーを直接取得可能で、トークン偽造につながるので深刻。
IBMによるパッチの適用を推奨。最新の公式アップデートを確認。
該当バージョンを使用中の環境でファイルアクセス権限を厳格化。
ログインユーザーのファイルアクセスを監視し、不審な動作を検知する。
References
- patch psirt@us.ibm.com
- web nvd.nist.gov
- web github.com