CVE-2026-110192
ŚrednieCVSS 6.5Streszczenie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu niewystarczającej ochrony poświadczeń. Luka dotyczy słabego zabezpieczenia danych uwierzytelniających.
Ocena ryzyka
Uwierzytelniony atakujący może przechwycić lub odczytać poświadczenia, co może prowadzić do eskalacji uprawnień lub dostępu do innych systemów. Wymaga to ważnego konta w aplikacji.
Rekomendacja
Zaktualizuj IBM Langflow OSS do wersji nowszej niż 1.12.8. Wdróż odpowiednie mechanizmy ochrony poświadczeń, takie jak szyfrowanie i bezpieczne przechowywanie.
Inne podatności w IBM Langflow OSS
Zobacz wszystkie- CVE-2026-90991Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 zawiera podatność polegającą na alokacji zasobów bez limitów lub ograniczeń. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wywołania odmowy usługi.
- CVE-2026-77819Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na nadpisanie dowolnych plików z powodu nieprawidłowego ograniczenia nazwy ścieżki do katalogu restrykcyjnego.
- CVE-2026-77817Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej sanityzacji sekretów podczas eksportu przepływów i projektów.
- CVE-2026-18894Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 pozwala zdalnemu atakującemu na uruchomienie istniejącego wcześniej zapisanego kodu komponentu Python w publicznym przepływie pracy. Kod jest wykonywany w kontekście środowiska uruchomieniowego właściciela przepływu w procesie serwera, co omija zamierzoną granicę zaufania.
- CVE-2026-110309Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu niewłaściwej kontroli generowania kodu.
- CVE-2026-110245Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego uwierzytelniania.
- CVE-2026-110244Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego ograniczenia ścieżki do katalogu restrykcyjnego.
- CVE-2026-110200Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu przechowywania danych wrażliwych w postaci jawnej. Luka dotyczy niewłaściwego zabezpieczenia takich danych.
- CVE-2026-110196Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach obejście ograniczenia tylko dla administratora i wykonanie dowolnego kodu na serwerze poprzez skonfigurowanie wbudowanego komponentu wykonującego kod z danymi dostarczonymi przez atakującego.
- CVE-2026-110193Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach spowodowanie, że Agentic Assistant wygeneruje lub prześle kod komponentu przy użyciu nieblokowanych wzorców, co skutkuje wykonaniem dowolnego polecenia systemu operacyjnego na serwerze.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.12.8 could allow a remote authenticated attacker to obtain sensitive information due to insufficiently protected credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS