CVE-2026-93680
KrytyczneCVSS 9.8Streszczenie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa.
Ocena ryzyka
Obejście mechanizmów uwierzytelniania może umożliwić nieautoryzowany dostęp do funkcji aplikacji i danych, co stanowi poważne ryzyko dla poufności i integralności środowiska.
Rekomendacja
Zaktualizuj IBM Langflow OSS do wersji nowszej niż 1.12.8 lub zastosuj poprawkę dostarczoną przez producenta, a do czasu aktualizacji ogranicz dostęp sieciowy do instancji.
Inne podatności w IBM Langflow OSS
Zobacz wszystkie- CVE-2026-90991Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 zawiera podatność polegającą na alokacji zasobów bez limitów lub ograniczeń. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wywołania odmowy usługi.
- CVE-2026-77819Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na nadpisanie dowolnych plików z powodu nieprawidłowego ograniczenia nazwy ścieżki do katalogu restrykcyjnego.
- CVE-2026-77817Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej sanityzacji sekretów podczas eksportu przepływów i projektów.
- CVE-2026-18894Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 pozwala zdalnemu atakującemu na uruchomienie istniejącego wcześniej zapisanego kodu komponentu Python w publicznym przepływie pracy. Kod jest wykonywany w kontekście środowiska uruchomieniowego właściciela przepływu w procesie serwera, co omija zamierzoną granicę zaufania.
- CVE-2026-110309Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu niewłaściwej kontroli generowania kodu.
- CVE-2026-110245Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego uwierzytelniania.
- CVE-2026-110244Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego ograniczenia ścieżki do katalogu restrykcyjnego.
- CVE-2026-110200Średnie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu przechowywania danych wrażliwych w postaci jawnej. Luka dotyczy niewłaściwego zabezpieczenia takich danych.
- CVE-2026-110196Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach obejście ograniczenia tylko dla administratora i wykonanie dowolnego kodu na serwerze poprzez skonfigurowanie wbudowanego komponentu wykonującego kod z danymi dostarczonymi przez atakującego.
- CVE-2026-110193Wysokie
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 może umożliwić zdalnemu atakującemu z kontem o niskich uprawnieniach spowodowanie, że Agentic Assistant wygeneruje lub prześle kod komponentu przy użyciu nieblokowanych wzorców, co skutkuje wykonaniem dowolnego polecenia systemu operacyjnego na serwerze.
Oryginalny opis (angielski, źródło NVD)
IBM Langflow OSS 1.0.0 through 1.12.8 could allow a remote attacker to bypass security restrictions due to improper authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS