PT-2026-53956 · Ibm · Langflow Oss
Publicado
2026-06-30
·
Atualizado
2026-07-01
·
CVE-2026-10134
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
IBM Langflow OSS versões 1.0.0 through 1.9.3
Description
Uma falha de injeção de código permite que um invasor remoto não autenticado obtenha controle total do sistema sem a interação do usuário. Isso permite que o invasor leia todos os segredos disponíveis para o processo, bem como leia e modifique fluxos, conversas, mensagens, uploads de arquivos e componentes salvos no banco de dados. Além disso, o invasor pode se conectar a serviços internos, abusar de endpoints de metadados de nuvem e se mover lateralmente para outros locatários na mesma instância. A persistência pode ser estabelecida modificando o
tool code de um fluxo público, fazendo com que o código do invasor seja reexecutado durante chamadas padrão ao endpoint '/api/v1/build/...' por qualquer usuário.Recommendations
Atualize o IBM Langflow OSS versões 1.0.0 through 1.9.3 para a versão corrigida fornecida pela IBM.
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Langflow Oss