There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.0, Langflow's
    /api/v1/monitor router exposes 7 endpoints that perform read, write, and delete operations on user-owned
    resources — messages, sessions, build artifacts, and LLM transaction logs — without verifying that the
    authenticated requester owns the targeted resource. Any authenticated user can read, modify, rename, or
    permanently delete another user's data by supplying the target's resource ID or flow_id. This is a classic
    IDOR/BOLA vulnerability. Notably, the same source file (monitor.py) contains one correctly-implemented
    endpoint that uses an ownership check, demonstrating the correct pattern was known but inconsistently
    applied. This vulnerability is fixed in 1.9.0. (CVE-2026-33760)

遠端主機上安裝的 Langflow 版本早於 1.9.0。因此，它會受到缺少授權弱點的影響：

  - /api/v1/monitor 路由器會公開 7 個端點，這些端點會在使用者擁有的資源上執行讀取、寫入及刪除作業，而不驗證已鑑別的要求者是否擁有目標資源。任何經過驗證的使用者都可以透過提供目標的資源識別碼或flow_id，讀取、修改、重新命名或永久刪除其他使用者的訊息、工作階段、建置成品和 LLM 交易記錄。CVE-2026-33760

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Langflow 版本低于 1.9.0。因此，它受到缺少授权漏洞的影响：

  - /api/v1/monitor 路由器暴露 7 个端点，这些端点在用户拥有的资源上执行读取、写入和删除操作，而无需验证经身份验证的请求者是否拥有目标资源。任何经过身份验证的用户都可以通过提供目标的资源 ID 或flow_id，读取、修改、重命名或永久删除其他用户的消息、会话、生成项目和 LLM 事务日志。CVE-2026-33760

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている Langflow のバージョンは、1.9.0 より前です。したがって、認証欠如の脆弱性の影響を受けます。

  - /api/v1/monitorルーターは、認証されたリクエスターが標的のリソースを所有していることを検証せずに、ユーザー所有のリソースで読み取り、書き込み、削除操作を実行する7つのエンドポイントを漏えいさせます。認証されたユーザーは、ターゲットのリソースIDまたはflow_idを提供することで、他のユーザーのメッセージ、セッション、ビルドアーティファクト、LLMトランザクションログを読み取り、変更、名前変更、または完全に削除できます。(CVE-2026-33760)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Langflow installed on the remote host is prior to 1.9.0. It is, therefore, affected by a missing authorization vulnerability:

  - The /api/v1/monitor router exposes 7 endpoints that perform read, write, and delete     operations on user-owned resources without verifying that the authenticated requester owns     the targeted resource. Any authenticated user can read, modify, rename, or permanently     delete another user's messages, sessions, build artifacts, and LLM transaction logs by     supplying the target's resource ID or flow_id. (CVE-2026-33760)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443287	SCA: security update for langflow (GHSA-9c59-2mvc-vfr8)	Tenable Cloud Security	SCA Checks	2026/6/16	2026/7/2	high
443287	SCA: security update for langflow (GHSA-9c59-2mvc-vfr8)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/16	2026/7/2	high
326242	Langflow < 1.9.0 缺少授權（CVE-2026-33760）	Nessus	Artificial Intelligence	2026/7/10	2026/7/13	high
326242	Langflow < 1.9.0 缺少授权（CVE-2026-33760）	Nessus	Artificial Intelligence	2026/7/10	2026/7/13	high
326242	Langflow < 1.9.0 承認の欠如(CVE-2026-33760)	Nessus	Artificial Intelligence	2026/7/10	2026/7/13	high
326242	Langflow < 1.9.0 Missing Authorization (CVE-2026-33760)	Nessus	Artificial Intelligence	2026/7/10	2026/7/13	high

检测

插件搜索

high

high

high

high

high

high