Langflow 容易遭受攻击，导致未经身份验证的攻击者可以通过特别伪造的请求，在 '/api/v1/validate/code' 端点上执行任意代码。此检测包含在“AI 和 LLM”类别中。

Langflow は、認証されていない攻撃者が「/api/v1/validate/code」エンドポイントで特別に偽造されたリクエストを介して任意のコードを実行する攻撃に脆弱です。この検出は、AI および LLM カテゴリに含まれます。

Langflow is vulnerable to an attack allowing an unauthenticated attacker to execute arbitrary code via a specially forged request on the '/api/v1/validate/code' endpoint. This detection is included in the AI and LLM category.

Langflow 容易受到攻擊，其允許未經驗證的攻擊者透過「/api/v1/validate/code」端點上特製的要求執行任意程式碼。此偵測包含在 AI 和 LLM 類別中。

远程主机上运行的 Langflow 版本受到两个漏洞影响，这些漏洞可被串联利用，进而在未经身份验证的情况下远程执行代码：

  - CVE-2026-9103：当默认 AUTO_LOGIN 配置处于启用状态时，“/api/v1/auto_login”端点会向任何未经身份验证的调用者发放超级用户 JWT 持有者标记。

  - CVE-2026-8481：“/api/v1/validate/code”端点会在“验证”过程中，使用未沙盒化的 exec() 编译并评估攻击者提供的 Python，而该 exec() 的全局作用域中暴露了 importlib 和 Python 内置命令。并且，函数默认参数值和装饰器会在定义函数时立即执行。

未经身份验证的远程攻击者可以通过以下方式串联利用这些缺陷：首先从 auto_login 端点请求超级用户标记；然后将构造的 Python 代码提交至 validate/code，其默认参数会执行任意 Python；最后以 Langflow 服务用户的身份执行任意操作系统命令。

Nessus 首先从 /auto_login 获取标记，然后强制目标对 Nessus 扫描程序执行带外回调（DNS 查找和/或直接套接字连接），借此以非破坏性方式确认该链式漏洞存在。未对目标执行任何操作系统命令。

遠端主機上執行的 Langflow 版本受到兩個弱點影響，可透過串連利用這兩個弱點來達成未驗證的遠端程式碼執行：

  - CVE-2026-9103：當啟用預設的 AUTO_LOGIN 設定時，「/api/v1/auto_login」端點會簽發超級使用者 JWT Bearer 權杖給任何未驗證的呼叫者。

  - CVE-2026-8481：「/api/v1/validate/code」端點在進行「驗證」時，會使用未沙盒化的 exec() 來編譯並執行攻擊者提供的 Python 程式碼，其 globals 暴露了 importlib 與 Python 內建功能。函式預設引數值和裝飾器會在定義時執行。

遠端且未驗證的攻擊者可以串連利用這些弱點：首先向 auto_login 端點請求超級使用者權杖，接著向 validate/code 送出精心設計的 Python 程式碼，其預設引數會以 Langflow 服務使用者的權限執行任意 Python，最終執行任意作業系統指令。

Nessus 透過從 /auto_login 取得權杖，並強制目標執行越界回呼 (DNS 查詢及/或直接 socket 連線) 回連至 Nessus 掃描器，以非破壞性方式確認了此鏈。目標上未執行任何作業系統命令。

リモートホストで実行されている Langflow のバージョンは、2 つの脆弱性の影響を受けます。これらの脆弱性は、認証されていないリモートコードの実行に連鎖する可能性があります。

  - CVE-2026-9103:「/api/v1/auto_login」エンドポイントは、デフォルトの AUTO_LOGIN 設定が有効な場合、認証されていない任意の呼び出し元に対してスーパーユーザー JWT ベアラートークンを発行します。

  - CVE-2026-8481:「/api/v1/validate/code」エンドポイントは、グローバルが importlib および Python ビルトインを露出するサンドボックス化されていない exec() を使用して、「validation」中に攻撃者が指定した Python をコンパイルおよび評価します。関数のデフォルト引数の値とデコレータは、定義時に実行されます。

リモートの認証されていない攻撃者は、最初に auto_login エンドポイントからスーパーユーザートークンをリクエストし、次に、デフォルトの引数として任意の Python コードを実行する validate/code に細工された Python コードを送信することで、これらの脆弱性を連鎖的に悪用し、最終的に Langflow サービスのユーザーとして任意のオペレーションシステムコマンドを実行することが可能です。

Nessus は、/auto_login からトークンを取得し、ターゲットに帯域外コールバック (DNS 検索やソケット直接接続) を Nessus スキャナーへ強制的に実行させることで、非破壊的にチェーンを確認しました。ターゲットでオペレーティングシステムのコマンドが実行されませんでした。

The version of Langflow running on the remote host is affected by two vulnerabilities that can be chained to achieve unauthenticated remote code execution:

  - CVE-2026-9103: The '/api/v1/auto_login' endpoint mints a superuser JWT bearer token to any unauthenticated caller     when the default AUTO_LOGIN configuration is enabled.

  - CVE-2026-8481: The '/api/v1/validate/code' endpoint compiles and evaluates attacker-supplied Python during     'validation' using an unsandboxed exec() whose globals expose importlib and Python builtins. Function     default-argument values and decorators are executed at definition time.

A remote, unauthenticated attacker can chain these flaws by first requesting a superuser token from the auto_login endpoint, then submitting crafted Python code to validate/code whose default argument executes arbitrary Python, and ultimately arbitrary operating system commands, as the Langflow service user.

Nessus confirmed the chain non-destructively by obtaining a token from /auto_login and coercing the target into performing an out-of-band callback (a DNS lookup and/or a direct socket connection) back to the Nessus scanner. No operating system commands were executed on the target.

The version of Langflow installed on the remote host is 1.x.x prior to 1.10.1. It is, therefore, affected by a code injection vulnerability:

  - IBM Langflow OSS 1.0.0 through 1.10.0 allows unauthenticated attackers to chain     /api/v1/auto_login (mints SUPERUSER tokens to any network caller) with     /api/v1/validate/code (executes user code via exec()) to achieve full RCE on default     Langflow deployments. (CVE-2026-9198)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115357	Langflow < 1.10.1 远程代码执行	Web App Scanning	Artificial Intelligence	2026/8/11	2026/8/11	critical
115357	Langflow < 1.10.1 のリモートコードの実行	Web App Scanning	Artificial Intelligence	2026/8/11	2026/8/11	critical
115357	Langflow < 1.10.1 Remote Code Execution	Web App Scanning	Artificial Intelligence	2026/8/11	2026/8/11	critical
115357	Langflow < 1.10.1 遠端程式碼執行	Web App Scanning	Artificial Intelligence	2026/8/11	2026/8/11	critical
334529	Langflow auto_login + validate/code 链未经身份验证的 RCE (CVE-2026-9198)（直接检查）	Nessus	Artificial Intelligence	2026/8/11	2026/8/24	critical
334529	Langflow auto_login + validate/code 鏈未驗證遠端程式碼執行 (RCE) (CVE-2026-9198) (直接檢查)	Nessus	Artificial Intelligence	2026/8/11	2026/8/24	critical
334529	Langflow auto_login + validate/code Chain の認証されていない RCE (CVE-2026-9198) (Direct Check)	Nessus	Artificial Intelligence	2026/8/11	2026/8/24	critical
334529	Langflow auto_login + validate/code Chain Unauthenticated RCE (CVE-2026-9198) (Direct Check)	Nessus	Artificial Intelligence	2026/8/11	2026/8/24	critical
333371	Langflow 1.x.x < 1.10.1 Code Injection	Nessus	Artificial Intelligence	2026/8/7	2026/8/24	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical