CVE-2026-77819
ŚrednieCVSS 6.5Streszczenie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na nadpisanie dowolnych plików z powodu nieprawidłowego ograniczenia nazwy ścieżki do katalogu restrykcyjnego.
Ocena ryzyka
Atakujący z ważnym kontem może nadpisać dowolne pliki, co może prowadzić do uszkodzenia danych lub wykonania kodu.
Rekomendacja
Zaktualizuj IBM Langflow OSS do wersji nowszej niż 1.12.3 i ogranicz uprawnienia kont usługi do niezbędnego minimum.
Inne podatności w IBM Langflow OSS
Zobacz wszystkie- CVE-2026-90991Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 zawiera podatność polegającą na alokacji zasobów bez limitów lub ograniczeń. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wywołania odmowy usługi.
- CVE-2026-77817Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej sanityzacji sekretów podczas eksportu przepływów i projektów.
- CVE-2026-18894Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 pozwala zdalnemu atakującemu na uruchomienie istniejącego wcześniej zapisanego kodu komponentu Python w publicznym przepływie pracy. Kod jest wykonywany w kontekście środowiska uruchomieniowego właściciela przepływu w procesie serwera, co omija zamierzoną granicę zaufania.
- CVE-2026-110309Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu niewłaściwej kontroli generowania kodu.
- CVE-2026-110245Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego uwierzytelniania.
- CVE-2026-110244Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego ograniczenia ścieżki do katalogu restrykcyjnego.
- CVE-2026-110200Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu przechowywania danych wrażliwych w postaci jawnej. Luka dotyczy niewłaściwego zabezpieczenia takich danych.
- CVE-2026-110196Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach obejście ograniczenia tylko dla administratora i wykonanie dowolnego kodu na serwerze poprzez skonfigurowanie wbudowanego komponentu wykonującego kod z danymi dostarczonymi przez atakującego.
- CVE-2026-110193Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach spowodowanie, że Agentic Assistant wygeneruje lub prześle kod komponentu przy użyciu nieblokowanych wzorców, co skutkuje wykonaniem dowolnego polecenia systemu operacyjnego na serwerze.
- CVE-2026-110192Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu niewystarczającej ochrony poświadczeń. Luka dotyczy słabego zabezpieczenia danych uwierzytelniających.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.12.3 could allow a remote authenticated attacker to overwrite arbitrary files due to improper limitation of a pathname to a restricted directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS