Langflow: Code Injection in PythonFunction-Komponente führt zu Remote Code Execution

Beschreibung

Eine Schwachstelle in Langflow erlaubt entfernten Angreifern die Ausführung beliebigen Codes auf betroffenen Installationen. Angriffsvektoren und Ausnutzbarkeit hängen von der Konfiguration des Produkts ab. Die konkrete Schwachstelle liegt in der Verarbeitung von Python-Funktions-Komponenten: Je nach Produktkonfiguration kann ein Angreifer eigenen Python-Code in einen Workflow einschleusen und diesen im Kontext der Anwendung ausführen (Was ZDI-CAN-27497). CVSS-Basiswert: 7.1 (Hoch).

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Langflow

• IBM Langflow OSS – Unauthentifizierte Codeausführung durch Verkettung KEV CVE-2026-9198
• Langflow: Autorisierungsumgehung über benutzerkontrollierten Schlüssel KEV CVE-2026-55255
• Langflow Origin Validation Error Vulnerability KEV CVE-2025-34291
• Langflow – Code Injection KEV CVE-2026-33017
• Langflow – Missing Authentication Vulnerability KEV CVE-2025-3248
• Langflow: Nicht authentifizierte Remote Code Execution über exec_globals CVE-2026-0770