CVE-2026-10140: IBM Langflow OSS: reuso de clientes de API entre tenants no modo de voz (IDOR)
A IBM divulgou uma falha crítica no modo de voz do Langflow OSS 1.0.0 até 1.10.0, em que clientes de API são reutilizados entre limites de tenants. Um atacante autenticado pode manipular o estado do cache para que requisições de outros usuários usem credenciais incorretas de API upstream, causando faturamento e atribuição de responsabilidade incorretos. O registro não lista versão corrigida nem exploração confirmada.
Visão geral
A IBM publicou um aviso de fornecedor sobre o modo de voz do Langflow OSS. O problema é um tratamento impróprio de estado compartilhado que permite reutilizar clientes de API entre limites de tenants. A fraqueza é classificada como CWE-639, bypass de autorização por meio de chave controlada pelo usuário. Consulte o aviso de suporte da IBM.
Impacto
- Um usuário autenticado pode manipular o estado do cache para que requisições de outros usuários sejam processadas com credenciais incorretas de API upstream.
- O registro descreve, como consequências, faturamento cruzado entre tenants e atribuição incorreta de responsabilidade.
- A pontuação base CVSS 3.1 de 9.6 (crítica) foi informada pelo CNA, com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N. O impacto em confidencialidade e integridade é classificado como alto, e em disponibilidade como nulo.
Produtos e versões afetadas
- Produto: Langflow Langflow (IBM Langflow OSS).
- Faixa no registro: de 1.0.0 até 1.10.0, inclusive.
- O registro não lista versão corrigida. Isso não significa que não exista correção, então consulte o aviso da IBM para orientações atuais.
Status de exploração
- Este CVE não aparece como listado no catálogo KEV da CISA neste registro.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- A probabilidade EPSS é 0.0035, com percentil 0.26758, datada de 2026-10-13.
Correção e mitigação
- Revise o aviso da IBM e verifique se há build corrigido disponível para sua implantação.
- Até a correção, considere restringir ou desabilitar o modo de voz nas instâncias afetadas, se isso for operacionalmente viável.
- Renove as credenciais de API upstream usadas pelas instâncias afetadas e verifique se credenciais compartilhadas podem ter sido usadas em nome de outros tenants.
- Priorize implantações multi-tenant, onde a consequência entre tenants é mais relevante.
Orientação para detecção
- Revise os logs de uso da API upstream em busca de requisições atribuídas a tenants ou usuários inesperados.
- Concilie registros de faturamento com a atividade por tenant para identificar uso atribuído incorretamente.
- Correlacione a atividade de sessões de voz com o uso de credenciais para identificar divergências, em nível geral.
Limitações das informações disponíveis
- O registro não fornece versão corrigida, detalhes de patch ou especificidades técnicas da causa raiz além da descrição.
- A implementação do cache, eventuais pré-requisitos além da autenticação e o escopo completo dos dados expostos são desconhecidos.
- Estavam disponíveis apenas uma referência do fornecedor e as páginas de fonte NVD e CVE.org.
Perguntas frequentes
Quais versões do Langflow OSS são afetadas pelo CVE-2026-10140?
O registro lista as versões do IBM Langflow OSS de 1.0.0 até 1.10.0, inclusive, como afetadas.
O CVE-2026-10140 é conhecido como explorado ativamente?
O registro indica que o CVE não está listado no KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.