CVE-2026-8505
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
IBM Langflow OSS 1.0.0 do 1.10.0 ma podatność w logice uwierzytelniania webhook, która pozwala nieuwierzytelnionym użytkownikom na wyzwolenie wykonania dowolnego flowu, gdy WEBHOOK_AUTH_ENABLE jest ustawione na False (domyślnie).
Ocena ryzyka
Zdalny atakujący znający UUID flowu może go wykonać jako właściciel, co może prowadzić do zdalnego wykonania kodu (RCE).
Rekomendacja
Zaktualizuj IBM Langflow OSS do wersji 1.10.1 lub nowszej, lub włącz uwierzytelnianie webhook (WEBHOOK_AUTH_ENABLE=True).
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.10.0 has a vulnerability in Langflow's webhook authentication logic allows unauthenticated users to trigger the execution of any flow. The system incorrectly bypasses API key validation when the WEBHOOK_AUTH_ENABLE configuration is set to False (which is the default setting). This allows a remote attacker who knows a flow's UUID to execute it as if they were the owner, potentially leading to Remote Code Execution (RCE).