CVE-2026-9202
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 pozwala nieuwierzytelnionym atakującym na tworzenie nieograniczonej liczby kont użytkowników. Gdy opcja NEW_USER_IS_ACTIVE=true jest włączona, nowe konta są natychmiast aktywne i mogą uzyskać dostęp do endpointów RCE.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do interfejsów RCE, co może prowadzić do pełnego przejęcia instancji Langflow i naruszenia danych.
Rekomendacja
Wyłącz opcję NEW_USER_IS_ACTIVE=true w konfiguracji. Zastosuj uwierzytelnianie dla wszystkich endpointów API. Rozważ aktualizację do nowszej wersji.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.10.0 allows unauthenticated attackers to create unlimited user accounts on any Langflow instance; when NEW_USER_IS_ACTIVE=true (documented deployment option), newly created accounts are immediately active and can authenticate to reach RCE endpoints, bypassing the need for AUTO_LOGIN.