CVE-2026-7803: IBM Langflow OSS: Validação Inadequada de Entrada Leva à Execução Arbitrária de Código
A IBM divulgou a CVE-2026-7803, que afeta o Langflow OSS nas versões 1.0.0 até 1.10.0. A falha decorre da validação inadequada de nós de fluxo com campos de tipo de componente ausentes ou vazios, o que pode permitir execução arbitrária de código. O registro atribui pontuação CVSS 3.1 de 9,8 e não lista versão corrigida, então os administradores devem consultar o aviso da IBM e reduzir a exposição enquanto isso.
Visão geral
A IBM publicou um aviso do fornecedor sobre o Langflow OSS. Segundo o registro, as versões de 1.0.0 até 1.10.0 são afetadas por uma falha em que nós de fluxo com campos de tipo de componente ausentes ou vazios não são validados adequadamente, o que pode permitir execução arbitrária de código. O registro está marcado como analisado e traz pontuação CVSS 3.1 de 9,8 atribuída pelo CNA.
Impacto
- O vetor CVSS do registro indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
- Se a execução arbitrária de código for alcançada, o código poderia rodar no contexto do serviço Langflow.
- A fraqueza é classificada como CWE-20, Validação Inadequada de Entrada.
Produtos e versões afetadas
- Produto listado: Langflow Langflow.
- Intervalo listado: de 1.0.0 até 1.10.0, inclusive.
- O registro não lista versão corrigida. Consulte o aviso da IBM para detalhes de correção.
Status de exploração
A CVE não aparece como explorada conhecida nos dados do catálogo CISA KEV presentes no registro. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Identifique todas as implantações do Langflow OSS dentro do intervalo de 1.0.0 a 1.10.0.
- Verifique no aviso da IBM a versão corrigida e planeje a atualização assim que possível, já que o registro não traz nenhuma.
- Enquanto não houver correção aplicada, restrinja o acesso de rede às instâncias do Langflow, exija autenticação e limite quem pode importar ou criar fluxos.
- Trate definições de fluxo de fontes não confiáveis como entrada não confiável.
Orientações de detecção
- Revise as definições de fluxo armazenadas ou importadas no Langflow em busca de nós sem tipo de componente ou com tipo vazio.
- Monitore os logs da aplicação e a atividade dos hosts dos serviços Langflow em busca de execução de processos inesperada ou conexões de saída incomuns.
- Mantenha registro das importações de fluxos e de sua origem para apoiar investigações.
Limitações das informações disponíveis
- O registro não descreve o caminho exato de acionamento, as condições precisas necessárias nem os componentes afetados além do resumo.
- Nenhuma versão corrigida, identificador de patch ou solução alternativa consta no registro.
- Há valores de EPSS (probabilidade 0,00643, percentil 0,49451), mas são estimativas estatísticas e não evidência de exploração.
- Apenas a pontuação CVSS fornecida pelo CNA está listada; nenhuma outra pontuação de provedor aparece.
Perguntas frequentes
A CVE-2026-7803 está sendo explorada ativamente?
O registro não lista esta CVE no CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Quais versões do Langflow OSS são afetadas?
O registro lista as versões do Langflow OSS de 1.0.0 até 1.10.0, inclusive.
Há versão corrigida disponível?
O registro não lista versão corrigida. Consulte o aviso da IBM para detalhes de correção e da versão com a solução.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.