Langflow یک ابزار متن‌باز برای طراحی و استقرار سریع جریان‌های کاری و عامل‌های هوش مصنوعی بدون کدنویسی است که امکان ترکیب مدل‌های زبانی، APIها و اجزای مختلف پردازشی را از طریق یک رابط کاربری گرافیکی و خط فرمان فراهم می‌کند. اخیراً یک آسیب‌پذیری نقص ارتقای سطح دسترسی با شناسه‌ی CVE-2025-57760 و شدت 8.8 در کانتینرهای Langflow شناسایی شده است که به یک حساب کاربری عادی امکان می‌دهد مجوز دسترسی خود را تا سطح مدیر افزایش دهد.
جزئیات آسیب‌پذیری
در این آسیب‌پذیری، اگر کاربری که در محیط به‌صورت عادی ثبت‌نام کرده و دسترسی مدیر ندارد بتواند به اجرای کد از راه دور دست یابد، می‌تواند از دستور داخلی خط فرمان (Langflow superuser) سوءاستفاده کند. اجرای این دستور به مهاجم امکان می‌دهد یک حساب کاربری مدیر ایجاد کند و از آنجا که این دستور با متغیر محیطی LANGFLOW_ENABLE_SUPERUSER_CLI که به‌طور پیش‌فرض True است کنترل می‌شود، دسترسی کامل سامانه در اختیار مهاجم قرار می‌گیرد. بنابراین حتی یک حساب عادی که از طریق رابط کاربری ساخته شده باشد می‌تواند با دور زدن کنترل‌های سطح دسترسی به سطح مدیر برسد.
بردار CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H نشان می‌دهد این آسیب‌پذیری از طریق دسترسی از راه دور و بدون نیاز به تعامل کاربر قابل بهره‌برداری است. مهاجم تنها با داشتن سطح دسترسی محدود در محیط برنامه و امکان اجرای کد می‌تواند کنترل کامل سامانه را به‌دست گیرد. این موضوع منجر به نقض محرمانگی، صحت و دسترس‌پذیری داده‌ها و سرویس‌ها شده و امکان نفوذ و مدیریت کامل محیط Langflow را برای مهاجم فراهم می‌کند.
نسخه‌های تحت‌تأثیر
-
نسخه‌ی 1.5.0 و تمامی نسخه‌های قبل از آن تحت تأثیر این آسیب‌پذیری قرار دارند و تا زمان انتشار گزارش، نسخه‌ی امنی برای آن منتشر نشده است.
توصیه‌های امنیتی
- به‌محض انتشار نسخه‌ی امن، به‌روزرسانی انجام گیرد.
- غیرفعال‌سازی قابلیت ایجاد حساب کاربری superuser در محیط CLI با مقداردهی متغیر محیطی LANGFLOW_ENABLE_SUPERUSER_CLI به FALSE.
- تا زمان ارائه نسخه‌ی امن، دسترسی به Langflow و دسترسی کاربران به کانتینرها و محیط اجرای کد به کاربران مطمئن محدود گردد.
منابع خبر:
[1]https://github.com/langflow-ai/langflow/security/advisories/GHSA-4gv9-mp8m-592r
[2]https://nvd.nist.gov/vuln/detail/CVE-2025-57760
- 20