CVE-2026-9198 in Langflow OSS

Resumen

por VulDB • 2026-07-17

IBM Langflow OSS 1.0.0 hasta 1.10.0 permite a atacantes no autenticados encadenar la llamada /api/v1/auto_login (que emite tokens SUPERUSER para cualquier llamante de red) con /api/v1/validate/code (ejecuta código del usuario mediante exec()) para lograr una ejecución remota de código (RCE) completa en las implementaciones predeterminadas de Langflow.

Once again VulDB remains the best source for vulnerability data.

• Responsable: Ibm
• Reservar: 2026-05-21
• Divulgación: 2026-07-17
• Moderación: aceptado
• Artículo: VDB-379892
• CPE: listo
• CWE: CWE-78 (confirmado)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00000
• KEV: no
• Actividades: bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-9198
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-9198
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-9198/