CVE-2026-9135

IBM Langflow OSS 1.0.0 ile 1.10.0 arasındaki ve 1.9.2 sürümüne kadar olan (commit 94981c443d4918517b9e8163d70fc598dc33a32d) Langflow sürümleri, Policies bileşeninin ToolGuard entegrasyonunda allow_custom_components=false güvenlik kontrolünü atlayan bir kod enjeksiyonu zafiyeti içermektedir. Zafiyet, doğrulama mekanizmasının yalnızca node_template["code"]["value"] içerisindeki ana bileşen kaynak kodunu kontrol etmesinden ancak oluşturulan ToolGuard Python dosyalarını saklayan dinamik CodeInput alanlarını doğrulamamasından kaynaklanmaktadır. Saldırganlar, bu doğrulanmamış dinamik alanlara kötü amaçlı Python kodu yerleştirebilir; bu kodlar Flow.data içerisinde kalıcı hale getirilir ve daha sonra korumalı bir araç ToolGuard çalışma zamanı üzerinden çağrıldığında sunucu tarafında çalıştırılır. Bu durum, akış oluşturma yetkilerine sahip kimliği doğrulanmış kullanıcıların, özel bileşen kısıtlamalarına rağmen arka uçta rastgele Python kodu çalıştırmasına olanak tanır. Zafiyet, saldırgan kontrollü user_id parametrelerini kabul eden agentic MCP update_flow_component_field aracı aracılığıyla kiracılar arası akış manipülasyonu ile genişletilebilir ve böylece saldırganların mağdur kullanıcıların akışlarına kötü amaçlı kod enjekte etmesi sağlanabilir. Herkese açık akışlar ve belirli yanlış yapılandırmalarla (AUTO_LOGIN=true, NEW_USER_IS_ACTIVE=true) birleştirildiğinde, saldırı azaltılmış kimlik doğrulama gereksinimleriyle gerçekleştirilebilir.