CVE-2026-109440 in LangAlpha
Zusammenfassung
von VulDB • 20.10.2026
LangAlpha bis 2026.09.07 enthält eine indirekte Prompt-Injection-Schwachstelle (Indirect Prompt Injection), die es Remote-Angriffern ermöglicht, Shell-Befehle oder Python-Code auszuführen, indem Anweisungen in vom Agenten abgerufenen Webinhalten platziert werden. Da Bash und ExecuteCode über keine Allowlist verfügen und keine menschliche Genehmigung im Loop („human-in-the-loop“) erforderlich ist, können Angreifer Code in der Workspace-Sandbox ausführen und Vault-Geheimnisse aus _internal/.vault_secrets.json extrahieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.