Résumé
généré automatiquement à partir des données NVDIBM Langflow OSS, versions 1.0.0 à 1.12.4, permet à un attaquant distant de déclencher l'exécution de code Python de composants déjà stocké dans un workflow public (CWE-94). Ce code s'exécute dans le contexte d'exécution du propriétaire du flux, au sein du processus serveur, ce qui contourne la frontière de confiance limitant les chemins publics au code de composants approuvé par le serveur. Score CVSS v3.1 : 6.5 (MEDIUM).
Description NVD (anglais)
IBM Langflow OSS 1.0.0 through 1.12.4 could allow a remote attacker to trigger pre-existing stored Python component code in a public workflow, executing it under the flow owner's runtime context within the server process. This bypasses the intended trust boundary where public execution paths are restricted to server-trusted component code.
EPSS · FIRST.org
0,43 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 36 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 30 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 29 oct. 2026
- Mis à jour
- 30 oct. 2026
- Statut
- Analyzed
- Source
- psirt@us.ibm.com
Produits affectés
Bornes publiées par NVD : « < 8.4.27 » signifie que 8.4.27 n'est plus vulnérable. La version corrigée à installer est dans l'avis de l'éditeur.
Faiblesses (CWE)
Références (1)
- https://www.ibm.com/support/pages/node/7293016PatchVendor Advisory
CVEs similaires
Autres vulnérabilités de type CWE-94
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.