Zaloguj się
Deutsch English Español Polski
Średnia

Langflow: Logout button does not clear session

  • Ujawniono: 19.06.2026
  • Aktualizacja: 11.10.2026 15:18

Summary

The logout button does not clear the session. The previous user stays logged in unless another user explicitly logs in.

Details

Not in auto login mode. Hosted on localhost. access_token_lf remains present in both Local Storage and Cookies. refresh_token_lf remains present in Cookies.

Root cause: the /logout endpoint deleted the authentication cookies without matching the original httponly/samesite/secure/domain parameters, so the browser kept them; additionally the frontend did not clear the auth cookies on logout.

LANGFLOW_AUTO_LOGIN: "False"
LANGFLOW_SUPERUSER: <set>
LANGFLOW_SUPERUSER_PASSWORD: <set>
LANGFLOW_SECRET_KEY: <set>
LANGFLOW_NEW_USER_IS_ACTIVE: "False"
LANGFLOW_ENABLE_SUPERUSER_CLI: "False"

PoC

Click Logout. Hit refresh to return to previous screen.

Impact

Users on shared computers may falsely believe they have terminated their session.

Patches

Fixed in 1.7.0 (PRs #10527 and #10528). The logout endpoint now deletes the auth cookies using the same parameters they were created with, and the frontend clears the auth cookies on logout. Upgrade to 1.7.0 or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) langflow < 1.7.0 1.7.0

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-613
Platforma
Python (PyPI)
Paczka
langflow
Ujawniono
19.06.2026
Aktualizacja
11.10.2026 15:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-222 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-7hw8-6q6r-4276 - CC BY 4.0

Historia podatności: langflow

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (42) w archiwum
Wszystkich wpisów
42
Pierwsza → ostatnia
06.2024 10.2026
Bez poprawki
7
Wykorzystywana w atakach
5

Rozkład istotności

  • Krytyczna 15
  • Wysoka 17
  • Średnia 7
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configuration
    Krytyczna · 9.9 CVE-2026-105697 >= 1.1.2, < 1.10.3 1.10.3
  2. Langflow has Authenticated Cross-Project File Disclosure via Unscoped MCP Resource Handlers
    Wysoka CVE-2026-105699 >= 1.6.8, < 1.9.1 1.9.1
  3. Langflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration Write
    Wysoka · 7.1 CVE-2026-105741 >= 1.5.0, < 1.10.3 1.10.3
  4. Langflow: PythonREPLComponent executes unsandboxed Python code, enabling authenticated RCE and privilege escalation
    Krytyczna · 9.9 CVE-2026-10561 < 1.10.1 1.10.1
  5. Langflow: Weak Fernet Key via random.seed()
    Krytyczna · 9.1 CVE-2026-9205 < 1.10.1 1.10.1
  6. Langflow: Unauthenticated Flow Execution via Webhook Authentication Bypass
    Krytyczna · 9.8 CVE-2026-8505 >= 1.7.0, < 1.9.1 1.9.1
  7. Langflow: Title Authenticated Remote Code Execution in validate_code via Malicious Decorators Description
    Wysoka · 8.8 CVE-2026-51886 >= 1.7.2, < 1.10.1 1.10.1
  8. Langflow: Prompt injection in Langflow Smart Transform can lead to code execution
    Wysoka · 8.8 CVE-2026-7700 >= 1.3.0, < 1.10.3 1.10.3
  9. Langflow: BaseFileComponent-based nodes arbitrary file read with RCE exploit
    Krytyczna · 9.6 CVE-2026-55447 < 1.9.2 1.9.2
  10. Langflow: Unauthenticated DoS through multipart form boundary file upload
    Wysoka · 7.5 CVE-2026-55446 < 1.0.19 1.0.19
  11. Langflow: Logout button does not clear session ten wpis
    Średnia · 6.1 CVE-2026-55423 < 1.7.0 1.7.0
  12. Langflow: IDOR Vulnerability in `/api/v1/responses` Endpoint Allows Authenticated Attackers to Access Another User's Flow
    Wysoka · 8.4 Wykorzystywana w atakach CVE-2026-55255 < 1.9.1 1.9.1
  13. Langflow: Unauthenticated file upload leads to DoS (space exhaustion) and information leak
    Krytyczna · 9.3 CVE-2026-55450 < 1.9.1 1.9.1
  14. Langflow: Unauthenticated RCE in Shareable Playgrounds
    Krytyczna · 9.6 CVE-2026-48519 < 1.9.2 1.9.2
  15. Langflow: IDOR/BOLA in Monitor API — Missing Ownership Enforcement on 7 Endpoints
    Wysoka · 8.8 CVE-2026-33760 < 1.9.0 1.9.0
  16. Langflow Knowledge Bases API is Vulnerable to Path Traversal
    Krytyczna · 9.6 CVE-2026-42048 < 1.9.0 1.9.0
  17. Langflow: Authenticated Users Can Read, Modify, and Delete Any Flow via Missing Ownership Check
    Wysoka CVE-2026-34046 < 1.5.1 1.5.1
  18. Langflow has Authenticated Code Execution in Agentic Assistant Validation
    Krytyczna CVE-2026-33873 < 1.9.0 1.9.0
  19. langflow: /profile_pictures/{folder_name}/{file_name} endpoint file reading
    Wysoka CVE-2026-33497 < 1.7.1 1.7.1
  20. langflow has Unauthenticated IDOR on Image Downloads
    Wysoka · 7.5 CVE-2026-33484 >= 1.0.0, < 1.9.0 1.9.0
Pokaż więcej (13) Widać 20 z 33

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.