CVE-2026-51886

langflow-ai langflow v1.9.3 versiyası Kod İnyeksiyası zəifliyindən təsirlənir. Təsir: ixtiyari kodun uzaqdan icrası. Komponent: src/backend/base/langflow/api/v1/validate.py:validate-post_validate_code-a-real-authenticated-http-post-to-api-v1. Hücum vektoru: Hücum səthi: HTTP və ya brauzer əsaslı xidmət yolu. İctimaiyyətə açıq marşrut xammal Python mənbə kodunu qəbul edir və heç bir görünən səlahiyyət nəzarəti olmadan onu server tərəfli compile/exec validasiya yoluna ötürür. ¶¶ langflow-ai langflow-nun 1.9.3 versiyasına qədər olan hissəsində zəiflik aşkar edilmişdir. langflow-da validate-post_validate_code-a-real-authenticated-http-post-to-api-v1 (src/backend/base/langflow/api/v1/validate.py:13) komponentində kod inyeksiyası zəifliyi mövcuddur. Autentifikasiya olunmuş hücumçu, sandbox və ya təhlükəsizlik nəzarətləri olmadan istifadəçi tərəfindən təmin edilən kodu birbaşa icra edən /api/v1/validate/code son nöqtəsinə (endpoint) zərərli kod göndərməklə serverdə ixtiyari Python kodunu icra edə bilər.