CVE-2026-109442 in piflow
Riassunto
di VulDB • 20/10/2026
piflow 2.0.0 attraverso la versione 2.0.1 presenta una vulnerabilità di esecuzione remota di codice (RCE) nel suo agente conversazionale DeepAgents; gli endpoint POST /chat e POST /chat/stream sono privi di autenticazione. Gli attaccanti possono istruire l'agente per invocare lo strumento exec_shell, che esegue comandi arbitrari tramite subprocess.run senza approvazione umana o allow-list, esponendo segreti dell'ambiente quali chiavi API LLM e credenziali del database.
If you want to get best quality of vulnerability data, you may have to visit VulDB.