Langflow - это инструмент для создания и развертывания агентов и рабочих процессов на основе ИИ. До версии 1.5.1 помощник `_read_flow` в `s…

Langflow - это инструмент для создания и развертывания агентов и рабочих процессов на основе ИИ. До версии 1.5.1 помощник `_read_flow` в `src/backend/base/langflow/api/v1/flows.py` разветвлялся на настройке `UTO_LOGIN`, чтобы решить, фильтровать ли по `user_id`. Когда `UTO_LOGIN` был «False` (т.е. была включена аутентификация), ни одна из филиалов не применяла проверку собственности — запрос возвращал любой поток, соответствующий заданному UUID, независимо от того, кто его владел. Это позволило любому аутентифицированному пользователю прочитать поток любого другого пользователя, включая встроенные ключи API-клиентов открытого текста; изменить логику агентов ИИ другого пользователя и/или удалить потоки, принадлежащие другим пользователям. Уязвимость была введена условной логикой, которая была предназначена для размещения общественных/примерных потоков (с `user_id = NULL`) в режиме автоматического входа, но непреднамеренно оставила аутентифицированный путь без фильтра собственности. Исправление в версии 1.5.1 удаляет условный `UTO_LOGIN` условный и безоговорочно охватывает запрос запрашивающего пользователя.