CVE-2026-10561: IBM Langflow OSS: injeção de código com bypass de autenticação
A IBM divulgou o CVE-2026-10561 no Langflow OSS nas versões 1.0.0 a 1.9.3, descrevendo isolamento impróprio da execução de Python combinado com bypass de autenticação. Segundo o registro, um atacante não autenticado pela rede poderia executar código arbitrário no host, e o CNA atribuiu nota 10 no CVSS 3.1. As fontes consultadas não listam versão corrigida no registro nem exploração confirmada.
Visão geral
A IBM publicou um aviso do fabricante para o CVE-2026-10561, que afeta o Langflow OSS da versão 1.0.0 até a 1.9.3. O registro descreve isolamento impróprio da execução de Python (CWE-94, Injeção de Código) combinado com bypass de autenticação.
Impacto
- O registro indica que um atacante não autenticado poderia executar código arbitrário no sistema hospedeiro.
- O CNA descreve o resultado como comprometimento completo do host.
- O vetor CVSS 3.1 informado pelo CNA indica vetor de rede, baixa complexidade, nenhum privilégio ou interação do usuário exigidos, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Produto: Langflow Langflow (Langflow OSS), versões de 1.0.0 até 1.9.3 inclusive, conforme o registro.
- O registro não lista versões corrigidas. Isso não significa que não exista correção; consulte o aviso da IBM.
Status de exploração
- A entrada no catálogo KEV da CISA presente no registro indica que este CVE não está listado.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
- O registro não contém pontuação EPSS.
Correção e mitigação
- Verifique se as implantações do Langflow OSS estão na faixa de 1.0.0 até 1.9.3.
- Consulte o boletim de segurança da IBM para orientações de correção e eventual versão corrigida.
- Enquanto a correção não for aplicada, reduza a exposição: restrinja o acesso de rede às instâncias do Langflow, evite redes não confiáveis e coloque-as atrás de gateways autenticados.
- Se houver suspeita de exposição, rotacione credenciais e segredos acessíveis a partir dos hosts que executam o Langflow.
Orientações de detecção
- Faça o inventário das instâncias do Langflow e das versões implantadas.
- Monitore os hosts com Langflow para processos filhos inesperados, conexões de saída incomuns e arquivos novos ou alterados.
- Revise os logs de acesso para requisições aos endpoints do Langflow vindas de origens desconhecidas.
Limitações das informações disponíveis
- O registro não informa versão corrigida, componente afetado detalhado nem detalhes técnicos além da descrição geral.
- Dados de EPSS e SSVC estão ausentes do registro.
- Esta análise se baseia no registro NVD, no registro do CVE Program e no link do aviso da IBM incluído no registro.
Perguntas frequentes
Quais versões do Langflow OSS são afetadas pelo CVE-2026-10561?
O registro informa que as versões do IBM Langflow OSS de 1.0.0 até 1.9.3 são afetadas. Compare a versão implantada com essa faixa e consulte o aviso da IBM.
O registro indica uma versão corrigida?
Não. O registro não lista versões corrigidas. Isso não significa que não exista correção, por isso consulte o boletim de segurança da IBM citado nas referências.
Há exploração conhecida desta vulnerabilidade?
A entrada no catálogo KEV da CISA presente no registro indica que ela não está listada, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.