CVE-2026-0768
Vulnérabilité d'injection de code et d'exécution de code à distance dans le code Langflow. Cette vulnérabilité permet à des attaquants distants d'exécuter du code arbitraire sur les installations affectées de Langflow. L'authentification n'est pas requise pour exploiter cette vulnérabilité. La faille spécifique existe dans la gestion du paramètre code fourni à l'endpoint validate. Le problème résulte de l'absence de validation appropriée d'une chaîne fournie par l'utilisateur avant son utilisation pour exécuter du code Python. Un attaquant peut exploiter cette vulnérabilité pour exécuter du code dans le contexte de root. . Était ZDI-CAN-27322.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 29 août 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 218 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 26 oct. 2026 25 oct. 2026 24 oct. 2026 23 oct. 2026 22 oct. 2026 21 oct. 2026
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| langflow | langflow | 1.4.2 |
Articles liés
Des attaquants ciblent la RCE de Langflow CVE-2026-105740 alors que l'activité sur les honeypots s'accélère
Tentatives d'exploitation RCE Langflow CVE-2026-105740 sur honeypots Previdian, authentification requise, sans compromission confirmée.
Langflow sous attaque : une faille RCE expose des clés OpenAI, AWS et des identifiants root
CVE-2026-0768 : faille RCE critique dans Langflow exploitée sans authentification via /validate, exécution en root et vol de clés OpenAI et AWS. Patch 1.11.6.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.