Към съдържанието
Търсене

CVE-2026-8476: IBM Langflow OSS, десериализация

9.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

IBM Langflow OSS 1.0.0 through 1.10.0 contain a critical remote code execution vulnerability in the disk-based caching mechanism. The AsyncDiskCache class uses Python's unsafe pickle.loads() function to deserialize cached objects from disk without validation, integrity verification, or authentication, enabling arbitrary code execution when malicious pickle payloads are processed. Attackers who can influence cached data through file system access, malicious workflow inputs, custom components, or API manipulation can achieve complete system compromise with the privileges of the Langflow server process.

Засегнати продукти

  • IBM Langflow OSS: 1.0.0 до 1.10.0

Вид слабост

История

  • 17 юли 2026 Публикувано

Други уязвимости в IBM Langflow OSS

Първоизточници

CVE-2026-8476: IBM Langflow OSS, десериализация | freedomonline.bg