CVE-2026-0769

Lỗ hổng truyền trực tiếp mã eval_custom_component_code của Langflow - Khắc phục mã từ xa thực thi code

Lỗ hổng truyền trực tiếp mã eval_custom_component_code của Langflow. Lỗ hổng này cho phép kẻ tấn công từ xa thực thi mã tùy ý trên các phiên bản bị ảnh hưởng của Langflow. Không yêu cầu xác thực để khai thác lỗ hổng này. Lỗ hổng cụ thể tồn tại trong triển khai của hàm eval_custom_component_code. Vấn đề xuất phát từ việc thiếu kiểm tra hợp lệ của chuỗi do người dùng cung cấp trước khi sử dụng nó để thực thi mã Python. Kẻ tấn công có thể khai thác lỗ hổng này để thực thi mã trong ngữ cảnh của quá trình hiện tại. Was ZDI-CAN-26972.

CNA cấp mã

zdi

Ngày công bố

23/01/2026

Cập nhật

26/02/2026

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-95

EPSS (FIRST)

41.15% khả năng bị khai thác trong 30 ngày