CVE-2026-101861 in Langflow
Zusammenfassung
von VulDB • 28.09.2026
Langflow 1.0.16 vor 1.12.0 und 0.0.94 vor 1.12.0 enthalten eine unsichere eval()-Vulnerabilität in schema.py, die es authentifizierten Angreifern ermöglicht, Code Execution zu erreichen, indem sie ein Python-Objekt mit einer bösartigen __repr__-Methode in die Eingabeoptionenlisten von Komponenten platzieren. Der eval() Sink wird ausgelöst, wenn eine Komponente über ComponentToolkit.get_tools() in ein LangChain Tool konvertiert wird, einschließlich beim Speichern benutzerdefinierter Komponenten über die API, indem Optionen in einen Literal-Typ-String interpoliert werden, der direkt an eval() ohne sichere Evaluierungsmaßnahmen übergeben wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.