CVE-2026-0768
Vulnerabilidad de inyección de código y ejecución remota de código en Langflow. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de Langflow. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica existe en el manejo del parámetro code proporcionado al endpoint validate. El problema resulta de la falta de validación adecuada de una cadena suministrada por el usuario antes de usarla para ejecutar código Python. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de root. . Era ZDI-CAN-27322.
Preaviso: explotación observada
- Explotación observada desde el 29 ago 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 218 días después de la divulgación
- Confirmada por sensores, no solo por informes
Fuente: VulnCheck KEV · 26 oct 2026 25 oct 2026 24 oct 2026 23 oct 2026 22 oct 2026 21 oct 2026
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| langflow | langflow | 1.4.2 |
Artículos relacionados
Atacantes apuntan a la RCE de Langflow CVE-2026-105740 mientras aumenta la actividad en honeypots
Atacantes intentan explotar la RCE autenticada CVE-2026-105740 en Langflow vía MCP, según datos de honeypots de Previdian sin compromisos confirmados.
Langflow bajo ataque: una vulnerabilidad RCE expone claves de OpenAI, AWS y credenciales de root
Explotación activa de CVE-2026-0768 en Langflow permite RCE sin autenticación como root y robo de claves OpenAI, AWS y credenciales. Actualiza a 1.11.6.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.