CVE-2026-9186

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 pozwala atakującym na wykonanie dowolnego kodu Pythona z uprawnieniami roota (UID=0) na serwerze Langflow poprzez przesłanie komponentów zawierających importy socket lub urllib. Umożliwia to kradzież poświadczeń AWS przez SSRF IMDSv1, eksfiltrację plików z kontenera oraz ruch boczny do usług wewnętrznych (PostgreSQL, Redis). Skaner błędnie zwraca "validated": true, dając fałszywy sygnał bezpieczeństwa.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w wyniku wstrzyknięcia kodu podczas budowania grafu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji znaków specjalnych w poleceniach.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.5 pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu oraz dostęp lub modyfikację sesji czatu poprzez publicznie udostępnione punkty końcowe projektów MCP, z powodu nieprawidłowego egzekwowania ograniczeń bezpieczeństwa publicznych przepływów i izolacji sesji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera poprzez zapisanie przepływu z spreparowaną wartością pola typu i wywołanie budowy przepływu opakowującego, który go odwołuje. Umożliwia to eskalację uprawnień od 'uwierzytelnionego użytkownika przepływów' do dowolnego wykonania poleceń na poziomie systemu operacyjnego, z pominięciem polityki LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.1 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwego egzekwowania ograniczeń bezpieczeństwa na publicznym punkcie końcowym A2A.

IBM Langflow OSS 1.0.0 do 1.9.6 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu do kont użytkowników z powodu niewłaściwego ograniczenia nadmiernych prób uwierzytelniania.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na wstrzyknięcie dowolnego kodu do systemu z powodu nieprawidłowej kontroli kodu wejściowego użytkownika.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 zawiera podatność na niewłaściwą walidację wejścia w implementacji piaskownicy PythonREPL.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 jest podatny na zdalne wykonanie kodu bez uwierzytelnienia poprzez wstrzykiwanie zmiennych środowiskowych w programie ładującym MCP stdio. Podatność wynika z niekompletnej listy blokowanych zmiennych środowiskowych (brak SHELLOPTS, BASHOPTS i PS4) w pliku src/lfx/src/lfx/base/mcp/util.py.