Udnyttet sårbarhed
Langflow Langflow Utilstrækkelig Kontrol af Generation af Kode ('Code Injection')
langflow-ai langflow v1.9.3 er påvirket af: Code Injection. Påvirkningen er: eksekvere vilkårlig kode (remote). Komponenten er: src/backend/base/langflow/api/v1/validate.py:validate-post_validate_code-a-real-authenticated-http-post-to-api-v1. Angrebsvektoren er: Angrebsoverflade: HTTP eller browserunderstøttet servicesti. En offentlig rute accepterer raw Python-kilde og videresendes den til en serversidevaliderings-kode/exec-sti uden nogen synlig berettigelsesguard. ¶¶ En svaghed er blevet identificeret i langflow-ai langflow op til 1.9.3. langflow indeholder en code injection-sårbarhed i validate-post_validate_code-a-real-authenticated-http-post-to-api-v1 (src/backend/base/langflow/api/v1/validate.py:13). En autentificeret angriber kan eksekvere vilkårlig Python-kode på serveren ved at indsende ondsindet kode til endepunktet /api/v1/validate/code, som direkte eksekverer brugeradresseret kode uden sandboxing eller sikkerhedskontroller.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD