CVE-2026-101861 in Langflow
Resumen
por VulDB • 2026-09-28
Langflow 1.0.16 anterior a la versión 1.12.0 y 0.0.94 anterior a la versión 1.12.0 contienen una vulnerabilidad de uso inseguro de `eval()` en schema.py que permite a atacantes autenticados lograr ejecución de código al colocar un objeto Python con un método `__repr__` malicioso en las listas de opciones de entrada del componente. El punto de inyección (sink) `eval()` se activa cuando un componente se convierte en una herramienta LangChain mediante ComponentToolkit.get_tools(), incluyendo durante el guardado de componentes personalizados a través de la API, interpolando opciones en una cadena de tipo Literal que se pasa directamente a eval() sin controles de evaluación segura.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.