CVE-2026-27966
Açıklama
Langflow, yapay zeka destekli ajanlar ve iş akışları oluşturmak ve yayına almak için kullanılan bir araçtır. Versiyon 1.8.0 öncesinde, Langflow'daki CSV Agent düğümü `allow_dangerous_code=True` değerini sabit olarak kullanmakta ve bu durum LangChain’in Python REPL aracını (`python_repl_ast`) otomatik olarak erişime açmaktadır. Sonuç olarak, bir saldırgan istem komutu enjeksiyonu (prompt injection) yoluyla sunucu üzerinde rastgele Python ve işletim sistemi komutları çalıştırabilir; bu da tam uzaktan kod çalıştırmaya (RCE) yol açar. Versiyon 1.8.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- langflow langflow1.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langflow langflow | v < 1.8.0 | 1.8.0 |
| langflowPyPI | v ≤ 1.8.0rc2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.