CVE-2026-19295
Açıklama
IBM Langflow OSS 1.0.0 ile 1.11.1 arasındaki sürümler, kimliği doğrulanmış bir saldırganın, özel olarak hazırlanmış bir type alanı değeriyle bir akış kaydetmesine ve buna referans veren bir sarmalayıcı akış oluşturulmasını tetiklemesine izin vererek sunucu işleminde rastgele işletim sistemi komutları çalıştırmasına olanak tanır. Bu durum, LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false politika kontrolünü atlayarak, "kimliği doğrulanmış akış kullanıcısı" rolünden sunucu işlemi kimliği altında rastgele işletim sistemi düzeyinde komut çalıştırılmasına yönelik yetki yükseltilmesine izin vermiştir.
Nasıl düzeltilir
- langflow langflow1.11.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langflow langflow | 1.0.0 ≤ v < 1.11.2 | 1.11.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.