Langflow AI漏洞可导致黑客在未经身份验证的情况下远程执行代码

由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English

首次报道 11月3日 06:12 UTC来源：GBHackers最近编辑更新 11月3日 06:12 UTC发表评论 ↓

事件经过

IBM披露了Langflow OSS中的七个漏洞，其中包括严重的身份验证绕过和代码注入缺陷，攻击者无需凭据即可远程利用。该公告涉及Langflow 1.0.0至1.12.8版本，并建议管理员升级至1.13.0版本。IBM是一家总部位于阿蒙克的软件与信息技术咨询公司。

IBM的摘要指出，自动登录安全控制措施修复不完整是其中的根本问题之一。

来源：Cyber Security News 漏洞, 2 分钟阅读。

根据IBM于10月28日发布、10月29日更新的安全公告，这些漏洞可能导致任意代码执行、API（一款软件用于与另一款软件通信的接口）凭据泄露、身份验证绕过，以及涉及捆绑依赖项的攻击。其中两个漏洞的CVSS评分为9.8，表明其可在低复杂度的网络环境中被利用，且无需权限或用户交互。

Langflow AI漏洞CVE-2026-93680（特定软件缺陷的公开编号）涉及身份验证不当，允许远程攻击者绕过安全限制。另外，CVE-2026-110186因代码生成控制不足，允许任意代码执行。