Më 5 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-jxw3-mjmx-3pqm (CVE-2026-9205) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën langflow të ekosistemit PyPI.
Paketat e prekura
- langflow (PyPI) — versionet e prekura:
<= 1.10.0; versioni me rregullim:1.10.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-228 (Improper Handling of Syntactically Invalid Structure)
- Identifikuesit: GHSA-jxw3-mjmx-3pqm, CVE-2026-9205
Përmbledhja zyrtare
Langflow: Dobët Fernet Key nëpërmjet random.seed () — Përmbledhje Langflow përdor modulin e rastësishëm të Python (Mersenne Twister, një PRNG jo-kriptografike) të mbjellë me SEKRETIN_KEY për të nxjerrë ÇELËSIN e kriptimit Fernet për të gjitha kredencialet e ruajtura të përdoruesit (çelësat API, sekretet e ofruesit LLM, fjalëkalimet e bazës së të dhënave). Kur ÇELËSI SEKRET_është më i shkurtër se 32 karaktere — një skenar i zakonshëm për vendosjet e vetë-pritura duke përdorur sekrete të thjeshta/të paharrueshme — çelësi i enkriptimit i nxjerrë është plotësisht përcaktues dhe i riprodhueshëm nga kushdo që e njeh vlerën e farës. Një sulmues që merr SEKRETIN_KYÇ (p.sh., përmes shtegut MCP…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin langflow, përditësojeni sa më shpejt në versionin 1.10.1 ose më të ri.
