CVE-2026-55255 — Langflow — Corrigé dans 1.9.1
Langflow est un outil de création et de déploiement d'agents et de workflows alimentés par l'IA. Avant la 1.9.1, une vulnérabilité Insecure Direct Object Reference (IDOR) dans l'endpoint /api/v1/responses permet à un attaquant authentifié d'exécuter tout flow appartenant à un autre utilisateur en spécifiant le flow ID de la victime dans la requête. Cette vulnérabilité est corrigée en 1.9.1.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| Langflow | 1.9.1 |
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 7 juil. 2026
- Les agences fédérales américaines doivent la corriger avant le 10 juil. 2026 (BOD 22-01)
- Première attaque observée 2 jours après la divulgation
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 28 août 2026 27 août 2026 20 août 2026 7 août 2026 29 juil. 2026 7 juil. 2026
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:LProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| langflow | langflow | < 1.9.1 |
Articles liés
Des attaquants ciblent la RCE de Langflow CVE-2026-105740 alors que l'activité sur les honeypots s'accélère
Tentatives d'exploitation RCE Langflow CVE-2026-105740 sur honeypots Previdian, authentification requise, sans compromission confirmée.
Langflow sous attaque : une faille RCE expose des clés OpenAI, AWS et des identifiants root
CVE-2026-0768 : faille RCE critique dans Langflow exploitée sans authentification via /validate, exécution en root et vol de clés OpenAI et AWS. Patch 1.11.6.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.