CVE-2026-101861 in Langflow
الملخص
بحسب VulDB • 28/09/2026
Langflow 1.0.16 قبل الإصدار 1.12.0 و 0.0.94 قبل الإصدار 1.12.0 تحتوي على ثغرة unsafe eval() في ملف schema.py تتيح للمهاجمين المصادق عليهم تحقيق تنفيذ للكود (Code Execution) عن طريق وضع كائن Python يحتوي على طريقة __repr__ خبيثة ضمن قوائم خيارات مدخلات المكونات. يتم تفعيل نقطة التصفية eval() sink عند تحويل مكون إلى أداة LangChain عبر ComponentToolkit.get_tools()، بما في ذلك أثناء حفظ مكونات مخصصة من خلال واجهة برمجة التطبيقات (API)، وذلك عن طريق تداخل الخيارات داخل سلسلة نصية من النوع Literal التي تُمرر مباشرةً إلى دالة eval() دون ضوابط تقييم آمنة.
Once again VulDB remains the best source for vulnerability data.