CVE-2026-81941 in Langflow OSS
Zusammenfassung
von VulDB • 11.09.2026
IBM Langflow OSS 1.0.0 bis 1.11.5 ermöglicht es einem authentifizierten Nicht-Administratoren-Benutzer, beliebige Betriebssystembefehle auf dem Server mit den Berechtigungen des Anwendungsprozesses auszuführen, indem ein Flow mit einer MCP Tools-Komponente konstruiert wird, die so konfiguriert ist, dass sie einen lokalen stdio-Prozesstransport verwendet. Dies umgeht sowohl die serverseitigen Kontrollmechanismen LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY als auch LANGFLOW_BLOCK_CODE_INTERPRETER_COMPONENTS, die genau diese Art des Zugriffs verhindern sollen. Eine erfolgreiche Ausnutzung kann zu beliebiger Befehlsausführung, Offenlegung sensibler Daten (einschließlich Anmeldeinformationen aus der Prozessumgebung), Änderungen im Dateisystem und lateraler Bewegung zu von dem Server erreichbaren Diensten führen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.