CVE-2026-81941 in Langflow OSS
요약
\~에 의해 VulDB • 2026. 09. 11.
IBM Langflow OSS 1.0.0부터 1.11.5까지의 버전에서는 인증된 비관리자 사용자가 로컬 stdio 서브프로세스 전송을 사용하도록 구성된 MCP Tools 컴포넌트를 포함하는 플로우를 구성함으로써 애플리케이션 프로세스의 권한 수준에서 서버에 대해 임의의 운영 체제 명령어를 실행할 수 있습니다. 이는 정확히 이러한 유형의 접근을 방지하기 위해 설계된 LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY 및 LANGFLOW_BLOCK_CODE_INTERPRETER_COMPONENTS라는 두 가지 서버 측 제어 장치를 우회합니다. 성공적인 공격은 임의의 명령어 실행, 민감한 데이터 노출(프로세스 환경에서 자격 증명 포함), 파일 시스템 수정, 그리고 서버에서 접근 가능한 서비스로의 수평 이동으로 이어질 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.