Zaloguj się
Deutsch English Español Polski
Krytyczna

Langflow Unauth RCE

  • Ujawniono: 07.04.2025
  • Aktualizacja: 11.10.2026 12:20

CISA potwierdza wykorzystanie tej podatności w rzeczywistych atakach. Priorytetowo sprawdź, czy dotyczy Twojej aplikacji. CISA KEV · CC0 1.0

Langflow versions prior to 1.3.0 are susceptible to code injection in the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary code.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) langflow < 1.3.0 1.3.0
Python (PyPI) langflow-base < 0.3.0 0.3.0

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A
Słabość (CWE)
CWE-94
Platforma
Python (PyPI)
Paczka
langflow, langflow-base
Ujawniono
07.04.2025
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2025-36 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-rvqx-wpfh-mfx7 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-380 - PyPA Advisory Database; CC BY 4.0

Historia podatności: langflow

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (42) w archiwum
Wszystkich wpisów
42
Pierwsza → ostatnia
06.2024 10.2026
Bez poprawki
7
Wykorzystywana w atakach
5

Rozkład istotności

  • Krytyczna 15
  • Wysoka 17
  • Średnia 7
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Langflow Unauth RCE ten wpis
    Krytyczna Wykorzystywana w atakach CVE-2025-3248 < 1.3.0 1.3.0
  2. Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configuration
    Krytyczna · 9.9 CVE-2026-105697 >= 1.1.2, < 1.10.3 1.10.3
  3. Langflow has Authenticated Cross-Project File Disclosure via Unscoped MCP Resource Handlers
    Wysoka CVE-2026-105699 >= 1.6.8, < 1.9.1 1.9.1
  4. Langflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration Write
    Wysoka · 7.1 CVE-2026-105741 >= 1.5.0, < 1.10.3 1.10.3
  5. Langflow: PythonREPLComponent executes unsandboxed Python code, enabling authenticated RCE and privilege escalation
    Krytyczna · 9.9 CVE-2026-10561 < 1.10.1 1.10.1
  6. Langflow: Weak Fernet Key via random.seed()
    Krytyczna · 9.1 CVE-2026-9205 < 1.10.1 1.10.1
  7. Langflow: Unauthenticated Flow Execution via Webhook Authentication Bypass
    Krytyczna · 9.8 CVE-2026-8505 >= 1.7.0, < 1.9.1 1.9.1
  8. Langflow: Title Authenticated Remote Code Execution in validate_code via Malicious Decorators Description
    Wysoka · 8.8 CVE-2026-51886 >= 1.7.2, < 1.10.1 1.10.1
  9. Langflow: Prompt injection in Langflow Smart Transform can lead to code execution
    Wysoka · 8.8 CVE-2026-7700 >= 1.3.0, < 1.10.3 1.10.3
  10. Langflow: BaseFileComponent-based nodes arbitrary file read with RCE exploit
    Krytyczna · 9.6 CVE-2026-55447 < 1.9.2 1.9.2
  11. Langflow: Unauthenticated DoS through multipart form boundary file upload
    Wysoka · 7.5 CVE-2026-55446 < 1.0.19 1.0.19
  12. Langflow: IDOR Vulnerability in `/api/v1/responses` Endpoint Allows Authenticated Attackers to Access Another User's Flow
    Wysoka · 8.4 Wykorzystywana w atakach CVE-2026-55255 < 1.9.1 1.9.1
  13. Langflow: Unauthenticated file upload leads to DoS (space exhaustion) and information leak
    Krytyczna · 9.3 CVE-2026-55450 < 1.9.1 1.9.1
  14. Langflow: Unauthenticated RCE in Shareable Playgrounds
    Krytyczna · 9.6 CVE-2026-48519 < 1.9.2 1.9.2
  15. Langflow: IDOR/BOLA in Monitor API — Missing Ownership Enforcement on 7 Endpoints
    Wysoka · 8.8 CVE-2026-33760 < 1.9.0 1.9.0
  16. Langflow Knowledge Bases API is Vulnerable to Path Traversal
    Krytyczna · 9.6 CVE-2026-42048 < 1.9.0 1.9.0
  17. Langflow: Authenticated Users Can Read, Modify, and Delete Any Flow via Missing Ownership Check
    Wysoka CVE-2026-34046 < 1.5.1 1.5.1
  18. Langflow has Authenticated Code Execution in Agentic Assistant Validation
    Krytyczna CVE-2026-33873 < 1.9.0 1.9.0
  19. langflow: /profile_pictures/{folder_name}/{file_name} endpoint file reading
    Wysoka CVE-2026-33497 < 1.7.1 1.7.1
  20. langflow has Unauthenticated IDOR on Image Downloads
    Wysoka · 7.5 CVE-2026-33484 >= 1.0.0, < 1.9.0 1.9.0
  21. Langflow has an Arbitrary File Write (RCE) via v2 API
    Krytyczna · 9.9 CVE-2026-33309 >= 1.2.0, < 1.9.0 1.9.0
Pokaż więcej (11) Widać 21 z 32

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.