CVE-2026-19295: Уразливість у langflow дозволяє виконувати довільні команди ОС

Що відомо

У версіях IBM Langflow OSS від 1.0.0 до 1.11.1 аутентифікований користувач може виконувати довільні операційні системні команди через збереження потоку з підробленим полем типу та запуску обгорткового потоку. Це призводить до підвищення привілеїв і обходу політики LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false.

Бізнес-вплив

Уразливість з критичним рейтингом CVSS 9.9 дозволяє зловмиснику з правами аутентифікованого користувача виконувати команди на рівні операційної системи від імені серверного процесу. Це створює серйозну загрозу для безпеки інфраструктури, оскільки може призвести до повного контролю над сервером та компрометації даних.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень або патчів від розробника langflow та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до сервера лише довіреним користувачам, переглянути журнали на предмет підозрілої активності та мінімізувати мережеву експозицію сервісу. DataHouse підтримує перевірку версій та допомагає у зниженні мережевої експозиції для підвищення безпеки.

Джерела

• NVD
• Reference