جزئیات آسیب‌پذیری
CVE-2026-0769
Langflow Langflow
Langflow eval_custom_component_code Eval Injection Remote Code Execution Vulnerability
CVSS 3.0
9.8بحرانی
شرح رسمی (انگلیسی)
Langflow eval_custom_component_code Eval Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Langflow. Authentication is not required to exploit this vulnerability. The specific flaw exists within the implementation of eval_custom_component_code function. The issue results from the lack of proper validation of a user-supplied string before using it to execute python code. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-26972.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.8بحرانی | 3.0 | CVEProject cvelistV5 (CNA) (zdi) | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Langflow | Langflow | 1.3.2 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱- https://www.zerodayinitiative.com/advisories/ZDI-26-035/ x_research-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۱۱/۰۳
- آخرین به‌روزرسانی
- ۱۴۰۴/۱۲/۰۷
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- zdi
پیش‌بینی بهره‌برداری (EPSS)
۴۱٫۱۵٪
احتمال بهره‌برداری در ۳۰ روز
۹۸٫۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-95Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection')