CVE-2026-8476
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 1.0%
- CWE
- CWE-502
- KEV Durumu
- Hayır
Yayım tarihi: 17 Temmuz 2026
Etkilenen: langflow langflow
IBM Langflow OSS 1.0.0 ile 1.10.0 arasında, disk tabanlı önbellek mekanizmasında kritik bir uzaktan kod yürütme zafiyeti bulunmaktadır. AsyncDiskCache sınıfı, önbelleğe alınmış nesneleri diske seri hâle getirme işlemlerinde Python'un güvensiz pickle.loads() fonksiyonunu, doğrulama, bütünlük doğrulaması veya kimlik doğrulaması olmadan kullanır ve bu da kötü amaçlı pickle yüklerinin işlenmesi sırasında keyfi kod yürütülmesine olanak tanır. Önbelleğe alınmış verileri dosya sistemi erişimini, kötü amaçlı iş akışı girişlerini, özel bileşenleri veya API manipülasyonunu etkileyebilen saldırganlar, Langflow sunucu işleminin ayrıcalıklarıyla tam sistem ihlaline ulaşabilir.
Orijinal açıklama (İngilizce)
IBM Langflow OSS 1.0.0 through 1.10.0 contain a critical remote code execution vulnerability in the disk-based caching mechanism. The AsyncDiskCache class uses Python's unsafe pickle.loads() function to deserialize cached objects from disk without validation, integrity verification, or authentication, enabling arbitrary code execution when malicious pickle payloads are processed. Attackers who can influence cached data through file system access, malicious workflow inputs, custom components, or API manipulation can achieve complete system compromise with the privileges of the Langflow server process.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.