CVE-2026-19295
Publiée le 2026-08-28 · Dernière modification le 2026-09-01
Les versions 1.0.0 à 1.11.1 d'IBM Langflow OSS sont affectées par une faille qui permet à un utilisateur disposant d'un compte basique d'exécuter des commandes arbitraires du système d'exploitation sur le serveur. Un attaquant peut y parvenir en enregistrant un flux spécialement conçu et en déclenchant une compilation, contournant ainsi les politiques de sécurité destinées à bloquer les composants personnalisés. Comme cela ne nécessite qu'une authentification basique et un accès réseau, il est relativement facile pour tout utilisateur enregistré d'élever ses privilèges au niveau du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
IBM Langflow OSS 1.0.0 through 1.11.1 allows an authenticated attacker to execute arbitrary operating system commands in the server process by saving a flow with a crafted type field value and triggering a build of a wrapper flow that references it. This allowed privilege escalation from "authenticated flow user" to arbitrary OS-level command execution under the server process identity, bypassing the LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false policy control.