CVE-2026-8481
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.9%
- CWE
- CWE-94
- KEV Durumu
- Hayır
Yayım tarihi: 17 Temmuz 2026
Etkilenen: langflow langflow
IBM Langflow OSS 1.0.0 ile 1.10.0 arasındaki sürümler, kod doğrulama API uç noktasında kritik bir uzaktan kod yürütme zafiyeti içerir. POST /api/v1/validate/code uç noktası, kullanıcı tarafından sağlanan Python kodunu kabul eder ve bu kodu Python'ın yerleşik exec() fonksiyonu kullanarak doğrudan çalıştırır, sanal ortam oluşturma, girdi doğrulama veya ayrıcalık kısıtlamaları olmadan, bu da herhangi bir kimliği doğrulanmış kullanıcıya Langflow sunucu işleminin tam ayrıcalıklarıyla任意 sistem komutlarını çalıştırma olanağı sağlar.
Orijinal açıklama (İngilizce)
IBM Langflow OSS 1.0.0 through 1.10.0 contain a critical remote code execution vulnerability in the code validation API endpoint. The POST /api/v1/validate/code endpoint accepts user-supplied Python code and executes it directly using Python's built-in exec() function without sandboxing, input validation, or privilege restrictions, enabling any authenticated user to execute arbitrary system commands with the full privileges of the Langflow server process.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.