JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-015658 Langfuseはオープンソースの大規模言語モデル（LLM）エンジニアリングプラットフォームです。バージョン3.68.0から3.167.0未満の間に、LLM接続更新フローにおいてロールベースアクセス制御の脆弱性が存在しました。プロジェクト内の認証済みで権限の低い「member」ロールのユーザーが、既存のLLM接続の更新を攻撃者が制御するbaseUrlにリクエストすることで、Langfuseは保存されているプロバイダーの秘密情報を再利用し、テストリクエストを攻撃者制御のエンドポイントにリダイレクトしてしまいます。これにより、その接続のプレーンテキストのプロバイダーLLM APIキーが漏洩する可能性があります。この攻撃は、ユーザーが既にプロジェクトの一員であり、「member」権限が付与されている場合にのみ成功します。この問題はバージョン3.167.0で修正されました。 cpe:/a:langfuse:langfuse https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-015658.html Common Vulnerabilities and Exposures (CVE) CVE-2026-41487 https://www.cve.org/CVERecord?id=CVE-2026-41487 National Vulnerability Database (NVD) CVE-2026-41487 https://nvd.nist.gov/vuln/detail/CVE-2026-41487 GitHub Improper role-based-access control in Langfuse LLM connection management allowed users of role “member” to retrieve stored LLM provider API keys Advisory langfuse/langfuse GitHub https://github.com/langfuse/langfuse/security/advisories/GHSA-2524-j966-gfgh JVNDB CWE-284 https://cwe.mitre.org/data/definitions/284.html 関連文書 fix(web): require secret key for LLM test base URL changes by hassiebp Pull Request #13055 langfuse/langfuse GitHub https://github.com/langfuse/langfuse/pull/13055 関連文書 fix(web): require secret key for LLM test base URL changes (#13055) langfuse/langfuse@7527bb0 GitHub https://github.com/langfuse/langfuse/commit/7527bb0d84bc0a3dc24a4b16d22ed2e46e6dddff 関連文書 fix(llm-connections): enforce write permissions on LLM connection tes… langfuse/langfuse@e12386f GitHub https://github.com/langfuse/langfuse/commit/e12386f9d4368bbfff24a4ad7fd53641091605ff 関連文書 Release v3.167.0 langfuse/langfuse GitHub https://github.com/langfuse/langfuse/releases/tag/v3.167.0 関連文書 fix(llm-connections): enforce write permissions on LLM connection test endpoints by hassiebp Pull Request #13027 langfuse/langfuse GitHub https://github.com/langfuse/langfuse/pull/13027 2026-05-15T11:00:59+09:00 2026-05-15T11:00:59+09:00