原文

Langfuseはオープンソースの大規模言語モデル（LLM）エンジニアリングプラットフォームです。バージョン3.68.0から3.167.0未満の間に、LLM接続更新フローにおいてロールベースアクセス制御の脆弱性が存在しました。プロジェクト内の認証済みで権限の低い「member」ロールのユーザーが、既存のLLM接続の更新を攻撃者が制御するbaseUrlにリクエストすることで、Langfuseは保存されているプロバイダーの秘密情報を再利用し、テストリクエストを攻撃者制御のエンドポイントにリダイレクトしてしまいます。これにより、その接続のプレーンテキストのプロバイダーLLM APIキーが漏洩する可能性があります。この攻撃は、ユーザーが既にプロジェクトの一員であり、「member」権限が付与されている場合にのみ成功します。この問題はバージョン3.167.0で修正されました。