CVE-2026-0768

CRITICAL9.8Publiée le 23 janvier 2026

Langflow code Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Langflow. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of the code parameter provided to the validate endpoint. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of root. . Was ZDI-CAN-27322.

Alerte précoce : exploitation observée

Exploitation observée depuis le 29 août 2026
Pas encore dans le catalogue officiel de la CISA
Première attaque observée 218 jours après la divulgation
Confirmée par des capteurs, pas seulement par des signalements

Source : VulnCheck KEV · 2 sept. 2026 1 sept. 2026 30 août 2026 30 août 2026 29 août 2026 29 août 2026

Score CVSS9.8 / 10CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Type de faiblesse (CWE)CWE-94

Éditeurslangflow

Produits concernés

Éditeurs	Prodotto	Versioni
langflow	langflow	1.4.2

Articles liés

Langflow sotto attacco: una falla RCE espone chiavi OpenAI, AWS e credenziali root

Vulnérabilités

Langflow sous attaque : une faille RCE expose des clés OpenAI, AWS et des identifiants root

CVE-2026-0768 : faille RCE critique dans Langflow exploitée sans authentification via /validate, exécution en root et vol de clés OpenAI et AWS. Patch 1.11.6.

1 sept. 20267 min de lectureLire

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de données CVE