CVE-2026-7871: Falha de desserialização no IBM Langflow OSS permite execução de código via acesso ao Redis

Visão geral

A IBM publicou um aviso do fornecedor para o Langflow OSS nas versões de 1.0.0 até 1.10.0. O registro descreve uma falha que permite a um usuário com acesso ao Redis executar código arbitrário com os privilégios completos da aplicação. A fraqueza é classificada como CWE-502, Desserialização de Dados Não Confiáveis. Consulte o aviso da IBM e o registro no NVD.

Impacto

Execução de código arbitrário com privilégios completos da aplicação, conforme declarado no registro.
Possível comprometimento de todos os segredos e dados da aplicação.
Perda de integridade do sistema, conforme descrito no registro.
O CNA atribuiu pontuação base CVSS 3.1 de 9.8 (Crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Produtos e versões afetadas

Produto listado no registro: Langflow Langflow (Langflow OSS).
Faixa afetada: de 1.0.0 até 1.10.0, inclusive.
O registro não lista nenhuma versão corrigida. A ausência de uma correção listada não significa que ela não exista; consulte o aviso da IBM para detalhes de correção.

Status de exploração

O catálogo Known Exploited Vulnerabilities da CISA não lista esta CVE, portanto a exploração ativa não é confirmada pelos dados do KEV. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS informada no registro é 0.00695 (percentil 0.51708).

Correção e mitigação

Revise o aviso da IBM e identifique a ação corretiva para sua implantação do Langflow OSS; o registro não especifica uma versão corrigida.
Inventarie todas as instâncias do Langflow OSS dentro da faixa afetada e priorize as acessíveis a usuários não confiáveis ou de menor privilégio.
Restrinja e monitore o acesso ao Redis, já que o registro associa a exploração ao acesso ao Redis. Aplique privilégio mínimo, segmentação de rede e autenticação no Redis.
Renove os segredos armazenados pela aplicação caso haja qualquer indício de acesso não autorizado, dado o impacto declarado sobre todos os segredos.

Orientações de detecção

Audite os registros de acesso ao Redis e revise quem pode gravar ou alterar dados que a aplicação lê posteriormente.
Procure processos filhos inesperados ou atividade de saída incomum originada de processos do Langflow.
Monitore alterações inesperadas na configuração da aplicação, nos dados armazenados ou nos segredos.

Limitações das informações disponíveis

O registro não descreve o caminho exato de código vulnerável, o fluxo de dados do Redis envolvido nem pré-requisitos além do acesso ao Redis.
Nenhuma versão corrigida, identificador de patch ou solução alternativa é listado no registro; esses dados são desconhecidos a partir das informações fornecidas.
O registro não contém detalhes de prova de conceito, e esta análise não fornece passos de exploração.
Apenas o aviso da IBM e o registro no NVD foram consultados.

Perguntas frequentes

O que é a CVE-2026-7871?

É uma falha crítica de desserialização de dados não confiáveis (CWE-502) no IBM Langflow OSS nas versões de 1.0.0 até 1.10.0, segundo o registro. O CNA atribuiu pontuação base CVSS 3.1 de 9.8.

Há exploração ativa conhecida desta CVE?

Não. O catálogo KEV da CISA não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.