CVE-2026-90991
ŚrednieCVSS 6.5Streszczenie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 zawiera podatność polegającą na alokacji zasobów bez limitów lub ograniczeń. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wywołania odmowy usługi.
Ocena ryzyka
Uwierzytelniony atakujący może wyczerpać zasoby systemowe, powodując odmowę usługi i degradację dostępności aplikacji. Może to zakłócić działalność operacyjną.
Rekomendacja
Zaktualizuj IBM Langflow OSS do wersji nowszej niż 1.12.4. Wprowadź limity zasobów i monitoruj ich zużycie.
Inne podatności w IBM Langflow OSS
Zobacz wszystkie- CVE-2026-77819Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na nadpisanie dowolnych plików z powodu nieprawidłowego ograniczenia nazwy ścieżki do katalogu restrykcyjnego.
- CVE-2026-77817Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej sanityzacji sekretów podczas eksportu przepływów i projektów.
- CVE-2026-18894Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 pozwala zdalnemu atakującemu na uruchomienie istniejącego wcześniej zapisanego kodu komponentu Python w publicznym przepływie pracy. Kod jest wykonywany w kontekście środowiska uruchomieniowego właściciela przepływu w procesie serwera, co omija zamierzoną granicę zaufania.
- CVE-2026-110309Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu niewłaściwej kontroli generowania kodu.
- CVE-2026-110245Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego uwierzytelniania.
- CVE-2026-110244Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego ograniczenia ścieżki do katalogu restrykcyjnego.
- CVE-2026-110200Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu przechowywania danych wrażliwych w postaci jawnej. Luka dotyczy niewłaściwego zabezpieczenia takich danych.
- CVE-2026-110196Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach obejście ograniczenia tylko dla administratora i wykonanie dowolnego kodu na serwerze poprzez skonfigurowanie wbudowanego komponentu wykonującego kod z danymi dostarczonymi przez atakującego.
- CVE-2026-110193Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach spowodowanie, że Agentic Assistant wygeneruje lub prześle kod komponentu przy użyciu nieblokowanych wzorców, co skutkuje wykonaniem dowolnego polecenia systemu operacyjnego na serwerze.
- CVE-2026-110192Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu niewystarczającej ochrony poświadczeń. Luka dotyczy słabego zabezpieczenia danych uwierzytelniających.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.12.4 could allow a remote authenticated attacker to cause a denial of service due to allocation of resources without limits or throttling.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS