CVE-2026-101331
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
IBM Langflow OSS w wersjach 1.0.0 do 1.12.2 umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie wrażliwych informacji z powodu niewystarczającej ochrony poświadczeń.
Ocena ryzyka
Ryzyko ujawnienia poświadczeń, co może prowadzić do nieautoryzowanego dostępu do systemów.
Rekomendacja
Zaktualizuj IBM Langflow OSS do najnowszej wersji, która poprawia ochronę poświadczeń.
Inne podatności w IBM Langflow OSS
Zobacz wszystkie- CVE-2026-93680Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa.
- CVE-2026-110186Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej kontroli generowania kodu.
- CVE-2026-107329Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej kontroli generowania kodu.
- CVE-2026-107328Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej neutralizacji kodu w eval/exec.
- CVE-2026-107327Krytyczne
IBM Langflow OSS w wersjach 1.0.0 do 1.12.4 zawiera lukę polegającą na braku autoryzacji, która umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu.
- CVE-2026-104339Krytyczne
IBM Langflow OSS w wersjach 1.0.0 do 1.12.3 zawiera lukę polegającą na niewłaściwej neutralizacji specjalnych elementów w poleceniach systemu operacyjnego, co umożliwia zdalnemu atakującemu wykonanie dowolnego kodu.
- CVE-2026-12944Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 pozwala atakującym na wykonanie dowolnego kodu Pythona z uprawnieniami roota (UID=0) na serwerze Langflow poprzez przesłanie komponentów zawierających importy socket lub urllib. Umożliwia to kradzież poświadczeń AWS przez SSRF IMDSv1, eksfiltrację plików z kontenera oraz ruch boczny do usług wewnętrznych (PostgreSQL, Redis). Skaner błędnie zwraca "validated": true, dając fałszywy sygnał bezpieczeństwa.
- CVE-2026-81204Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w wyniku wstrzyknięcia kodu podczas budowania grafu.
- CVE-2026-79724Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji znaków specjalnych w poleceniach.
- CVE-2026-85025Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu oraz dostęp lub modyfikację sesji czatu poprzez publicznie udostępnione punkty końcowe projektów MCP, z powodu nieprawidłowego egzekwowania ograniczeń bezpieczeństwa publicznych przepływów i izolacji sesji.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.12.2 could allow a remote authenticated attacker to obtain sensitive information due to insufficiently protected credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS