CVE-2026-0768
Vulnerabilità di Code Injection con Esecuzione di Codice da Remoto nel code di Langflow. Questa vulnerabilità consente ad attaccanti remoti di eseguire codice arbitrario sulle installazioni interessate di Langflow. Non è richiesta autenticazione per sfruttare questa vulnerabilità. Il difetto specifico esiste nella gestione del parametro code fornito all'endpoint validate. Il problema deriva dalla mancanza di una corretta validazione di una stringa fornita dall'utente prima di utilizzarla per eseguire codice Python. Un attaccante può sfruttare questa vulnerabilità per eseguire codice nel contesto di root. . Era ZDI-CAN-27322.
Preallarme: sfruttamento osservato
- Sfruttamento osservato dal 29 ago 2026
- Non ancora nel catalogo ufficiale CISA
- Primo attacco osservato 218 giorni dopo la divulgazione
- Confermata dai sensori, non solo da segnalazioni
Fonte: VulnCheck KEV · 26 ott 2026 25 ott 2026 24 ott 2026 23 ott 2026 22 ott 2026 21 ott 2026
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| langflow | langflow | 1.4.2 |
Articoli correlati
Gli attaccanti puntano alla RCE di Langflow CVE-2026-105740 mentre l'attività sugli honeypot accelera
Secondo dati honeypot Previdian, attaccanti tentano di sfruttare command injection autenticata in Langflow MCP per eseguire comandi di sistema.
Langflow sotto attacco: una falla RCE espone chiavi OpenAI, AWS e credenziali root
Vulnerabilità critica Langflow CVE-2026-0768 consente RCE senza autenticazione come root per rubare chiavi OpenAI, AWS e credenziali. Aggiorna a 1.11.6.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.