CVE-2026-41487
Що таке CVE-2026-41487?
Langfuse — це інженерна платформа великої мовної моделі з відкритим кодом. Починаючи з версії 3.68.0 і закінчуючи версією 3.167.0, існує недолік керування доступом на основі ролей у потоці оновлення з’єднання LLM. Автентифікований користувач із низьким рівнем привілеїв ролі «учасник» у проекті може запросити оновлення існуючого підключення LLM до керованого зловмисником базового URL-адреси, змусивши Langfuse повторно використовувати збережений секрет постачальника та перенаправити тестовий запит на контрольовану зловмисником кінцеву точку. Це може відкрити відкритий ключ API постачальника LLM для цього підключення. Атака можлива, лише якщо користувач уже є частиною
Популярні запитання
CVE-2026-41487 має оцінку CVSS Н/Д/10, рівень: невідомо. Перегляньте список уражених продуктів і застосуйте патчі виробника.
CVSS (Common Vulnerability Scoring System) оцінює критичність вразливостей від 0.0 до 10.0. CVE-2026-41487 має оцінку Н/Д/10 (невідомо). 9.0–10.0 — Критична, 7.0–8.9 — Висока, 4.0–6.9 — Середня, нижче 4.0 — Низька.
Список пристроїв, підтверджено уражених CVE-2026-41487, наведено у розділі "Уражені пристрої" вище. Перевірте версію прошивки в офіційному бюлетені безпеки виробника та встановіть останній патч.
Встановіть останнє оновлення прошивки або програмного забезпечення від виробника. Перегляньте розділ "Посилання" вище для офіційних рекомендацій та приміток до патча. Якщо патч відсутній — розгляньте вимкнення ураженої функції або ізоляцію пристрою від ненадійних мереж.