Më 6 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-8qpj-27×8-pwpq (CVE-2026-10561) për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën langflow të ekosistemit PyPI.
Paketat e prekura
- langflow (PyPI) — versionet e prekura:
< 1.10.1; versioni me rregullim:1.10.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-94 (Improper Control of Generation of Code ('Code Injection')), CWE-95 (Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection')), CWE-266 (Incorrect Privilege Assignment)
- Identifikuesit: GHSA-8qpj-27×8-pwpq, CVE-2026-10561
Përmbledhja zyrtare
Langflow: PythonREPLComponent ekzekuton kodin Python të panënshtruar, duke mundësuar RCE autentike dhe përshkallëzimin e privilegjeve — Përmbledhje Langflow's ndërtuar në komponentët e interpretuesit Python — PythonREPLComponent (Python Interpreter) dhe trashëgiminë PythonREPLToolComponent (Python Repl Tool) — ekzekutuar kodin Python arbitrar të përdoruesit ose të modelit të furnizuar brenda rrjedhave pa sandboxing efektiv. Për shkak se kodi ishte në proces me privilegjet e shërbimit Langflow, çdo përdorues i vërtetuar që mund të redaktonte dhe ekzekutonte një rrjedhë mund të arrinte ekzekutimin e kodit në distancë dhe, nga atje, të përshkallëzonte privilegjet tek superpërdoruesi (p.sh. duke hapur një sesion të bazës së të dhënave dhe duke rrokullisur është_superuser ) ose të kompromentojë hostin. Kjo çështje…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin langflow, përditësojeni sa më shpejt në versionin 1.10.1 ose më të ri.
