CVE-2026-101861 in Langflow
Riassunto
di VulDB • 28/09/2026
Langflow 1.0.16 prima della versione 1.12.0 e la versione 0.0.94 prima della 1.12.0 contengono una vulnerabilità di unsafe eval() in schema.py che consente agli attaccanti autenticati di ottenere l'esecuzione del codice inserendo un oggetto Python con un metodo __repr__ dannoso nelle liste delle opzioni di input dei componenti. Il sink eval() viene attivato quando un componente viene convertito in uno strumento LangChain tramite ComponentToolkit.get_tools(), incluso durante il salvataggio di componenti personalizzati attraverso l'API, interpolando le opzioni in una stringa di tipo Literal che viene passata direttamente a eval() senza controlli di valutazione sicuri.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.