- Aktif istismar
- Yama var
- CWE-94
CVE-2026-9198
Unauthenticated Remote Code Execution via Auto-Login Bypass and Code Validation
Kritik
9,8
CVSS 3.1
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 102 gün
- Kaydı açan
- ibm
Saldırılarda kullanılıyor
CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 4 Ağu 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 7 Ağu 2026.
Özet
Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.
IBM Langflow OSS 1.0.0 through 1.10.0 allows unauthenticated attackers to chain /api/v1/auto_login (mints SUPERUSER tokens to any network caller) with /api/v1/validate/code (executes user code via exec()) to achieve full RCE on default Langflow deployments
Üreticinin çözüm notu (İngilizce)
IBM strongly recommends addressing the vulnerability now by upgrading Langflow OSS to version 1.10.1 https://pypi.org/project/langflow/
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IBM Langflow OSS | ≥ 1.0.0, ≤ 1.10.0 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı