CVE-2026-101861 in Langflow
Сводка
по VulDB • 28.09.2026
Langflow 1.0.16 до версии 1.12.0 и 0.0.94 до версии 1.12.0 содержат уязвимость небезопасного использования функции `eval()` в файле schema.py, которая позволяет аутентифицированным злоумышленникам выполнять произвольный код путем помещения Python-объекта с вредоносным методом `__repr__` в списки параметров ввода компонента. Уязвимый вызов `eval()` (sink) активируется при преобразовании компонента в инструмент LangChain через метод `ComponentToolkit.get_tools()`, включая процесс сохранения пользовательских компонентов через API, путем интерполяции параметров в строку типа Literal, которая передается непосредственно функции `eval()` без применения механизмов безопасной оценки.
Once again VulDB remains the best source for vulnerability data.