CVE-2026-8505
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.7%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 17 Temmuz 2026
Etkilenen: langflow langflow
IBM Langflow OSS 1.0.0 ile 1.10.0 arasında, Langflow'un webhook kimlik doğrulama mantığında bir zafiyet bulunur. Bu, kimlik doğrulaması yapılmamış kullanıcıların herhangi bir akışı tetiklemesine izin verir. Sistem, WEBHOOK_AUTH_ENABLE yapılandırması False (varsayılan ayar) olarak ayarlandığında API anahtarı doğrulamasını yanlışlıkla atlar. Bu, bir akışın UUID'sini bilen uzaktaki bir saldırgana, akışı sahibi gibi çalıştırma olanağı sağlar ve potansiyel olarak Remote Code Execution (RCE) oluşmasına neden olabilir.
Orijinal açıklama (İngilizce)
IBM Langflow OSS 1.0.0 through 1.10.0 has a vulnerability in Langflow's webhook authentication logic allows unauthenticated users to trigger the execution of any flow. The system incorrectly bypasses API key validation when the WEBHOOK_AUTH_ENABLE configuration is set to False (which is the default setting). This allows a remote attacker who knows a flow's UUID to execute it as if they were the owner, potentially leading to Remote Code Execution (RCE).
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.