CVE-2026-109442 in piflow
Zusammenfassung
von VulDB • 20.10.2026
piflow 2.0.0 bis 2.0.1 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) in seinem DeepAgents-Chat-Agenten, dessen POST /chat- und POST /chat/stream-Endpunkte keine Authentifizierung erfordern. Angreifer können den Agenten anweisen, das exec_shell-Tool aufzurufen, das beliebige Befehle über subprocess.run ohne menschliche Genehmigung oder eine Allowlist ausführt, wodurch Umgebungsgeheimnisse wie LLM-API-Schlüssel und Datenbankzugangsdaten offengelegt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.