CVE-2026-7873: IBM Langflow OSS: Injeção de Código com Execução de Comandos no Sistema Operacional

Visão geral

A IBM publicou um registro de vulnerabilidade para o Langflow OSS que afeta as versões 1.0.0 a 1.10.0. Segundo o registro, um atacante autenticado pode executar comandos arbitrários no sistema operacional e ler arquivos sensíveis, incluindo credenciais. Os dados da CVE classificam a falha como CWE-94 (Injeção de Código).

Impacto

Execução arbitrária de comandos no sistema operacional dos hosts que executam o software afetado.
Leitura de arquivos sensíveis, incluindo credenciais.
O registro afirma que isso possibilita o comprometimento completo do sistema e a movimentação lateral. O vetor CVSS 3.1 indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.

Produtos e versões afetadas

Produto: Langflow Langflow (IBM Langflow OSS).
Intervalo: maior ou igual a 1.0.0 e menor ou igual a 1.10.0.
Nenhuma versão corrigida é listada no registro consultado.

Status de exploração

Esta CVE não consta no catálogo KEV da CISA no registro consultado. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. A estimativa EPSS de cerca de 1,07 por cento é uma probabilidade estatística e não é evidência de exploração.

Correção e mitigação

Consulte o aviso do fornecedor da IBM para o status atual de correção e orientações de atualização, já que o registro não lista versão corrigida.
Faça o inventário de todas as implantações do Langflow OSS e identifique as que estão na faixa de 1.0.0 a 1.10.0.
Restrinja quais contas têm acesso autenticado à aplicação e remova acessos desnecessários.
Por precaução, rotacione credenciais armazenadas ou acessíveis a partir das implantações afetadas.
Limite a exposição de rede do serviço e separe-o de sistemas sensíveis.

Orientação para detecção

Revise logs de autenticação e de aplicação em busca de atividade incomum em sessões autenticadas.
Monitore processos filhos inesperados iniciados pelo serviço Langflow e acessos a arquivos de credenciais ou segredos de configuração.
Acompanhe conexões de saída partindo de hosts com Langflow que fujam da operação normal.

Limitações das informações disponíveis

O registro não lista versão corrigida, detalhes de patch ou medidas alternativas além da referência do fornecedor.
O conteúdo do aviso do fornecedor não foi revisado nesta análise, portanto as orientações específicas do fabricante são desconhecidas aqui.
Pré-requisitos além da autenticação são desconhecidos.
A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte.

Perguntas frequentes

O que a CVE-2026-7873 permite?

Segundo o registro, um atacante autenticado pode executar comandos arbitrários no sistema operacional e ler arquivos sensíveis, incluindo credenciais, no IBM Langflow OSS 1.0.0 a 1.10.0.

Existe versão corrigida?

O registro consultado não lista versão corrigida. Consulte o aviso do fornecedor da IBM para o status atual de correção e as orientações de atualização.

Esta vulnerabilidade está sendo explorada ativamente?

Esta CVE não consta no catálogo KEV da CISA no registro consultado, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.