CVE-2026-12944
KrytyczneCVSS 9.6Streszczenie
IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 pozwala atakującym na wykonanie dowolnego kodu Pythona z uprawnieniami roota (UID=0) na serwerze Langflow poprzez przesłanie komponentów zawierających importy socket lub urllib. Umożliwia to kradzież poświadczeń AWS przez SSRF IMDSv1, eksfiltrację plików z kontenera oraz ruch boczny do usług wewnętrznych (PostgreSQL, Redis). Skaner błędnie zwraca "validated": true, dając fałszywy sygnał bezpieczeństwa.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem Langflow, wykraść poświadczenia chmurowe i dane oraz rozprzestrzenić się na inne usługi w sieci Docker, co stanowi krytyczne zagrożenie dla poufności i integralności środowiska.
Rekomendacja
Zaktualizuj Langflow do wersji nowszej niż 1.10.0, ogranicz dostęp sieciowy do serwera Langflow oraz zweryfikuj, czy skaner nie daje fałszywych wyników "validated": true.
Inne podatności w IBM Langflow OSS
Zobacz wszystkie- CVE-2026-12767Średnie
IBM Langflow OSS w wersjach 1.0.0 do 1.11.5 jest podatny na podatność Server-Side Request Forgery (SSRF). Może to pozwolić nieuwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.
- CVE-2026-12766Średnie
IBM Langflow OSS w wersjach 1.0.0 do 1.11.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Może to pozwolić uwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.
- CVE-2026-12765Średnie
IBM Langflow OSS w wersjach 1.0.0 do 1.10.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Może to pozwolić nieuwierzytelnionemu atakującemu na wysyłanie nieautoryzowanych żądań z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.
- CVE-2026-81204Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w wyniku wstrzyknięcia kodu podczas budowania grafu.
- CVE-2026-79724Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji znaków specjalnych w poleceniach.
- CVE-2026-85025Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu oraz dostęp lub modyfikację sesji czatu poprzez publicznie udostępnione punkty końcowe projektów MCP, z powodu nieprawidłowego egzekwowania ograniczeń bezpieczeństwa publicznych przepływów i izolacji sesji.
- CVE-2026-19295Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera poprzez zapisanie przepływu z spreparowaną wartością pola typu i wywołanie budowy przepływu opakowującego, który go odwołuje. Umożliwia to eskalację uprawnień od 'uwierzytelnionego użytkownika przepływów' do dowolnego wykonania poleceń na poziomie systemu operacyjnego, z pominięciem polityki LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false.
- CVE-2026-19286Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwego egzekwowania ograniczeń bezpieczeństwa na publicznym punkcie końcowym A2A.
- CVE-2026-19297Krytyczne
IBM Langflow OSS 1.0.0 do 1.9.6 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu do kont użytkowników z powodu niewłaściwego ograniczenia nadmiernych prób uwierzytelniania.
- CVE-2026-12946Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na wstrzyknięcie dowolnego kodu do systemu z powodu nieprawidłowej kontroli kodu wejściowego użytkownika.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.10.0 can allow attackers to execute arbitrary Python code with root privileges (UID=0) on the Langflow server by submitting components containing socket or urllib imports. This enables: (1) AWS credential theft via IMDSv1 SSRF with full IAM role permissions, (2) arbitrary file exfiltration from the container filesystem, and (3) lateral movement to internal services (PostgreSQL, Redis) within the Docker network. The scanner incorrectly returns "validated": true, providing a false security signal.