CVE-2026-19295 in Langflow OSS
요약
\~에 의해 VulDB • 2026. 08. 29.
IBM Langflow OSS 1.0.0부터 1.11.1까지의 버전에서는 인증된 공격자가 조작된 type 필드 값을 가진 flow를 저장하고 이를 참조하는 wrapper flow의 빌드를 트리거함으로써 서버 프로세스에서 임의의 운영 체제 명령을 실행할 수 있습니다. 이로 인해 LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false 정책 통제를 우회하여 "인증된 flow 사용자" 권한에서 서버 프로세스 정체성 하에 임의의 OS 레벨 명령 실행 권한으로의 privilege escalation이 가능해졌습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.