CVE-2026-51886 in Langflow
Zusammenfassung
von VulDB • 02.10.2026
langflow-ai langflow v1.9.3 ist betroffen von: Code Injection (Code-Injektion). Die Auswirkung ist: Ausführung beliebigen Codes (remote/fremdgesteuert). Die Komponente ist: src/backend/base/langflow/api/v1/validate.py: validate-post_validate_code-a-real-authenticated-http-post-to-api-v1. Der Angriffsvektor ist: Angriffsoberfläche: HTTP- oder browserbasierte Dienstpfade. Eine öffentlich zugängliche Route akzeptiert rohen Python-Quellcode und leitet ihn in einen serverseitigen Kompilierungs-/Ausführungsvalidierungspfad ohne sichtbare Berechtigungsprüfung weiter. ¶¶ Es wurde eine Schwachstelle in langflow-ai langflow bis Version 1.9.3 identifiziert. langflow enthält eine Code-Injektion-Schwachstelle in validate-post_validate_code-a-real-authenticated-http-post-to-api-v1 (src/backend/base/langflow/api/v1/validate.py:13). Ein authentifizierter Angreifer kann beliebigen Python-Code auf dem Server ausführen, indem er schädlichen Code an den Endpunkt /api/v1/validate/code sendet, der vom Benutzer bereitgestellten Code direkt ohne Sandboxing oder Sicherheitskontrollen ausführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.