Iniciar sesión
Deutsch English Español Polski
Media

Langflow vulnerable to remote code execution

  • Publicada: 05.11.2024
  • Actualizado: 11.10.2026 13:19

langflow <=1.0.18 is vulnerable to Remote Code Execution (RCE) as any component provided the code functionality and the components run on the local machine rather than in a sandbox.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) langflow <= 1.0.18 sin corrección

Referencias

Puntuación CVSS 9.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-94
Plataforma
Python (PyPI)
Paquete
langflow
Publicada
05.11.2024
Actualizado
11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-1523 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-5p5r-57fx-pmfr - CC BY 4.0

Historial de vulnerabilidades: langflow

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (42) en el archivo
Entradas en total
42
Primera → última
06.2024 10.2026
Sin corrección
7
Explotada en ataques
5

Distribución por gravedad

  • Crítica 15
  • Alta 17
  • Media 7
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Langflow vulnerable to remote code execution esta entrada
    Media · 9.8 CVE-2024-48061 <= 1.0.18 sin corrección
  2. Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configuration
    Crítica · 9.9 CVE-2026-105697 >= 1.1.2, < 1.10.3 1.10.3
  3. Langflow has Authenticated Cross-Project File Disclosure via Unscoped MCP Resource Handlers
    Alta CVE-2026-105699 >= 1.6.8, < 1.9.1 1.9.1
  4. Langflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration Write
    Alta · 7.1 CVE-2026-105741 >= 1.5.0, < 1.10.3 1.10.3
  5. Langflow: PythonREPLComponent executes unsandboxed Python code, enabling authenticated RCE and privilege escalation
    Crítica · 9.9 CVE-2026-10561 < 1.10.1 1.10.1
  6. Langflow: Weak Fernet Key via random.seed()
    Crítica · 9.1 CVE-2026-9205 < 1.10.1 1.10.1
  7. Langflow: Unauthenticated Flow Execution via Webhook Authentication Bypass
    Crítica · 9.8 CVE-2026-8505 >= 1.7.0, < 1.9.1 1.9.1
  8. Langflow: Title Authenticated Remote Code Execution in validate_code via Malicious Decorators Description
    Alta · 8.8 CVE-2026-51886 >= 1.7.2, < 1.10.1 1.10.1
  9. Langflow: Prompt injection in Langflow Smart Transform can lead to code execution
    Alta · 8.8 CVE-2026-7700 >= 1.3.0, < 1.10.3 1.10.3
  10. Langflow: BaseFileComponent-based nodes arbitrary file read with RCE exploit
    Crítica · 9.6 CVE-2026-55447 < 1.9.2 1.9.2
  11. Langflow: Unauthenticated DoS through multipart form boundary file upload
    Alta · 7.5 CVE-2026-55446 < 1.0.19 1.0.19
  12. Langflow: IDOR Vulnerability in `/api/v1/responses` Endpoint Allows Authenticated Attackers to Access Another User's Flow
    Alta · 8.4 Explotada en ataques CVE-2026-55255 < 1.9.1 1.9.1
  13. Langflow: Unauthenticated file upload leads to DoS (space exhaustion) and information leak
    Crítica · 9.3 CVE-2026-55450 < 1.9.1 1.9.1
  14. Langflow: Unauthenticated RCE in Shareable Playgrounds
    Crítica · 9.6 CVE-2026-48519 < 1.9.2 1.9.2
  15. Langflow: IDOR/BOLA in Monitor API — Missing Ownership Enforcement on 7 Endpoints
    Alta · 8.8 CVE-2026-33760 < 1.9.0 1.9.0
  16. Langflow Knowledge Bases API is Vulnerable to Path Traversal
    Crítica · 9.6 CVE-2026-42048 < 1.9.0 1.9.0
  17. Langflow: Authenticated Users Can Read, Modify, and Delete Any Flow via Missing Ownership Check
    Alta CVE-2026-34046 < 1.5.1 1.5.1
  18. Langflow has Authenticated Code Execution in Agentic Assistant Validation
    Crítica CVE-2026-33873 < 1.9.0 1.9.0
  19. langflow: /profile_pictures/{folder_name}/{file_name} endpoint file reading
    Alta CVE-2026-33497 < 1.7.1 1.7.1
  20. langflow has Unauthenticated IDOR on Image Downloads
    Alta · 7.5 CVE-2026-33484 >= 1.0.0, < 1.9.0 1.9.0
  21. Langflow has an Arbitrary File Write (RCE) via v2 API
    Crítica · 9.9 CVE-2026-33309 >= 1.2.0, < 1.9.0 1.9.0
Mostrar más (12) Mostrando 21 de 33

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.