یک آسیب‌پذیری بسیار بحرانی با شناسه CVE-2026-93680 در نسخه‌های ۱.۰.۰ تا ۱.۱۲.۸ نرم‌افزار IBM Langflow OSS شناسایی شده است. این نقص امنیتی که با امتیاز CVSS 9.8 رتبه‌بندی شده، به مهاجمان اجازه می‌دهد بدون نیاز به هیچ‌گونه احراز هویت (Authentication)، محدودیت‌های امنیتی سیستم را دور زده و کنترل دسترسی‌ها را به دست بگیرند.
جزئیات فنی و تحلیل خطر
این آسیب‌پذیری از نوع Improper Authentication (CWE-287) است. بر اساس بردار CVSS (AV:N/AC:L/PR:N/UI:N)، بهره‌برداری از این نقص نیازمند دسترسی از طریق شبکه (Network) است و پیچیدگی حمله (Attack Complexity) در سطح پایین قرار دارد. نکته حائز اهمیت این است که مهاجم برای اجرای حمله نیازی به داشتن هیچ‌گونه سطح دسترسی (Privileges) یا تعامل کاربر (User Interaction) ندارد.
در صورت موفقیت‌آمیز بودن حمله، تمامی سه رکن اصلی امنیت یعنی محرمانگی (Confidentiality)، یکپارچگی (Integrity) و در دسترس بودن (Availability) به طور کامل مختل خواهد شد. اگرچه در حال حاضر شواهدی مبنی بر بهره‌برداری گسترده در دنیای واقعی (In the wild) یا وجود یک PoC عمومی منتشر نشده است، اما ماهیت ساده و بحرانی این آسیب‌پذیری، ریسک بسیار بالایی را برای سازمان‌هایی که از این ابزار استفاده می‌کنند، ایجاد می‌کند.
اقدامات اصلاحی و توصیه‌ها
شرکت IBM وصله امنیتی (Patch) لازم را برای رفع این مشکل منتشر کرده است. اقدامات زیر برای کاهش ریسک توصیه می‌شود:
- به‌روزرسانی فوری: تمامی نسخه‌های Langflow OSS بین ۱.۰.۰ تا ۱.۱۲.۸ را به آخرین نسخه اصلاح‌شده به‌روزرسانی کنید.
- محدودسازی دسترسی شبکه: تا زمان اعمال وصله، دسترسی به نمونه‌های (Instances) Langflow را از طریق VPN، پروکسی‌های احراز هویت یا محدود کردن دسترسی به localhost محدود کنید.
- مانیتورینگ: فعالیت‌های غیرعادی در سطح Endpointهای مربوط به احراز هویت را در لاگ‌های سیستم رصد کنید.
