ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي Langflow على ثغرة خطأ في التحقق من المنشأ حيث يسمح تكوين CORS المتساهل للغاية مجتمعاً مع ملف تعريف ارتباط رمزي التحديث المكوّن كـ SameSite=None لصفحة ويب خبيثة بإجراء طلبات عبر المنشأ تتضمن بيانات اعتماد واستدعاء نقطة نهاية التحديث بنجاح. قد يسمح هذا للمهاجم بتتنفيذ شيفرة عشوائية وتحقيق اختراق كامل للنظام عبر الرموز التي تم الحصول عليها والتي تسمح بالوصول إلى نقاط النهاية المصادق عليها.
المعالجة
الإجراء المطلوب من CISAطبق إجراءات التخفيف وفقاً لتعليمات المورد، أو اتبع توجيهات BOD 22-01 المعمول بها للخدمات السحابية، أو توقف عن استخدام المنتج إذا لم تتوفر إجراءات التخفيف.
المراجع
- تحذيرhttps://github.com/langflow-ai/langflow
- تحذيرhttps://github.com/langflow-ai/langflow/releases/tag/v1.9.3
- تحذيرhttps://github.com/langflow-ai/langflow/issues/11465#event-25774545848
- تحذيرhttps://nvd.nist.gov/vuln/detail/CVE-2025-34291
- تحذيرhttps://www.vulncheck.com/advisories/langflow-cors-misconfiguration-to-token-hijack-and-rce
- تحذيرhttps://www.crowdsec.net/vulntracking-report/cve-2025-34291
- مرجعhttps://www.obsidiansecurity.com/blog/cve-2025-34291-critical-account-takeover-and-rce-vulnerability-in-the-langflow-ai-agent-workflow-platform
- مرجعhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-34291